Aggregator

DEVCORE 2022 第二屆實習生計畫

DEVCORE 戴夫寇爾
2 years 4 months ago

DEVCORE 自 2012 成立以來已邁向第十年，我們很重視台灣的資安，也專注找出最嚴重的弱點以保護世界。雖然公司規模擴張不快，但在漸漸站穩腳步的同時，我們仍不忘初衷：從 2020 開始在輔大、台科大成立資安獎學金；在 2021 年末擴大徵才，想找尋有著相同理念的人才一起奮鬥；今年年初，我們開始嘗試舉辦第一屆實習生計畫，希望培育人才、增強新世代的資安技能，最終成果也超乎預期。於是我們決定在今年 9 月進行第二屆實習生計畫，如果您對這個計畫有興趣，歡迎來信報名！

實習內容

本次實習分為 Binary 及 Web 兩個組別，主要內容如下：

  • Binary 以研究為主，在與導師確定研究標的後，分析目標架構、進行逆向工程或程式碼審查。藉由這個過程訓練自己的思路，找出可能的攻擊面與潛在的弱點。另外也會讓大家嘗試寫過往漏洞的 Exploit 理解過去漏洞都出現在哪，體驗真實世界的漏洞都是如何利用。
    • 漏洞挖掘及研究 70 %
    • 1-day 開發 (Exploitation) 30 %
  • Web 主要內容為在導師指引與輔佐下研究過往漏洞與近年常見新型態漏洞、攻擊手法，需要製作投影片介紹成果並建置可供他人重現弱點的模擬測試環境 (Lab)，另可能需要撰寫或修改可利用攻擊程式進行弱點驗證。
    • 漏洞及攻擊手法研究 70%
    • 建置 Lab 30%
公司地點

台北市松山區八德路三段 32 號 13 樓

實習時間
  • 2022 年 9 月開始到 2023 年 2 月底，共 6 個月。
    • 備註：若應徵人數過多，我們評估無法在 08/26 前決定人選。整體實習時間將會順延一至兩週，屆時會提早發信通知所有應徵者。
  • 每週工作兩天，工作時間為 10:00 – 18:00
    • 每週固定一天下午 14:00 - 18:00 必須到公司討論進度
    • 其餘時間皆為遠端作業
招募對象

大專院校大三（含）以上具有一定程度資安背景的學生

預計招收名額
  • Binary 組：2~3 人
  • Web 組：2~3 人
薪資待遇

每月新台幣 16,000 元

招募條件資格與流程 實習條件要求 Binary
  • 基本逆向工程及除錯能力
    • 能看懂組合語言並瞭解基本 Debugger 使用技巧
  • 基本漏洞利用能力
    • 須知道 Stack overflow、ROP 等相關利用技巧
  • 基本 Scripting Language 開發能力
    • Python、Ruby
  • 具備分析大型 Open Source 專案能力
    • 以 C/C++ 為主
  • 具備基礎作業系統知識
    • 例如知道 Virtual Address 與 Physical Address 的概念
  • Code Auditing
    • 知道怎樣寫的程式碼會有問題
      • Buffer Overflow
      • Use After free
      • Race Condition
      • …
  • 具備研究熱誠，習慣了解技術本質
  • 加分但非必要條件
    • CTF 比賽經驗
    • pwnable.tw 成績
    • 樂於分享技術
      • 有公開的技術 blog/slide、Write-ups 或是演講
    • 精通 IDA Pro 或 Ghidra
    • 有寫過 1-day 利用程式
    • 具備下列其中之一經驗
      • Kernel Exploit
      • Windows Exploit
      • Browser Exploit
      • Bug Bounty
Web
  • 熟悉 OWASP Web Top 10。
  • 理解 PortSwigger Web Security Academy 中所有的安全議題或已完成所有 Lab。
    • 參考連結：https://portswigger.net/web-security/all-materials
  • 理解計算機網路的基本概念。
  • 熟悉 Command Line 操作，包含 Unix-like 和 Windows 作業系統的常見或內建系統指令工具。
  • 熟悉任一種網頁程式語言（如：PHP、ASP.NET、JSP），具備可以建立完整網頁服務的能力。
  • 熟悉任一種 Scripting Language（如：Shell Script、Python、Ruby），並能使用腳本輔以研究。
  • 具備除錯能力，能善用 Debugger 追蹤程式流程、能重現並收斂問題。
  • 具備可以建置、設定常見網頁伺服器（如：Nginx、Apache）及作業系統（如：Linux）的能力。
  • 具備追根究柢的精神。
  • 加分但非必要條件
    • 曾經獨立挖掘過 0-day 漏洞。
    • 曾經獨立分析過已知漏洞並能撰寫 1-day exploit。
    • 曾經於 CTF 比賽中擔任出題者並建置過題目。
    • 擁有 OSCP 證照或同等能力之證照。
應徵流程

本次甄選一共分為二個階段：

第一階段：書面審查

第一階段為書面審查，會需要審查下列兩個項目

  • 履歷資格審查
  • 問答題答案（共 2 題，各組別題目不同，詳見下方報名方式）

我們會根據您的履歷及所回答的內容來決定是否有通過第一階段，會在七個工作天內回覆。

第二階段：面試

此階段為 1~2 小時的面試，會有 2~3 位資深夥伴參與，評估您是否具備本次實習所需的技術能力與人格特質。

報名方式
  • 請將您的履歷及題目答案以 PDF 格式寄到 [email protected]
    • 履歷格式請參考範例示意（DOCX、PAGES、PDF）並轉成 PDF。若您有自信，也可以自由發揮最能呈現您能力的履歷。
    • 請於 2022/08/12（五）23:59 前寄出（如果名額已滿則視情況提早結束）
  • 信件標題格式：[應徵] 職位 您的姓名（範例：[應徵] Web 組實習生 王小美）
  • 履歷內容請務必控制在三頁以內，至少需包含以下內容：
    • 基本資料
    • 學歷
    • 實習經歷
    • 社群活動經歷
    • 特殊事蹟
    • 過去對於資安的相關研究
    • 對於這份實習的期望
    • MBTI 職業性格測試結果（測試網頁）
  • 題目如下，請依照欲申請之組別回答
    • Binary
      • 簡答題
        • 假設你今天要分析一台印表機
          • 你會如何去分析 ?
          • 你覺得有哪些地方可能會發生問題導致攻擊者可以獲得印表機控制權? 為什麼 ?
      • 實作題目
        • 題目檔案
          • 為一個互動式的 Server，可透過網路連線與之互動。
        • 請分析上述所提供的 Server，並利用其中的漏洞在 Windows 11 上跳出 calc.exe。
          • 漏洞可能有很多，不一定每個都可以利用。
        • 請務必寫下解題過程及如何去分析這個 Server，並交 write-up，請盡你所能來解題，即使最後沒有成功，也請寫下您所嘗試過的方法及思路，本測驗將會以 write-up 為主要依據。
    • Web
      • 當你在網頁瀏覽器的網址列上輸入一串網址（例如：http://site.fake.devco.re/index.php?foo=bar），隨後按下 Enter 鍵到出現網頁畫面為止，請問中間發生了什麼事情？請根據你所知的知識背景，以文字盡可能說明。
      • 請提出三個，你印象最深刻或感到有趣、於西元 2020 ~ 2022 年間公開的真實漏洞或攻擊鏈案例，並依自己的理解簡述說明各個漏洞的成因、利用條件和可以造成的影響，以及所對應到的 OWASP Top 10 / CWE 類別。
      • （上述題目建議撰寫 1~2 頁即可）

若有應徵相關問題，請一律使用 Email 聯繫，如造成您的不便請見諒，我們感謝您的來信，並期待您的加入！

我的网络安全观：论双赢即“客户”（第五季）

专注APT攻击与防御
2 years 4 months ago

 任何的改变，是且仅是面向对象发生了改变。

————Micropoor


（注：第四季内容较为“抽象”，笔者尽可能以“举例”的形式，阐述论“双赢”既客户）


第一季《论服务既“销售”》主要围绕了网络安全行销售与“新销售”的边界、技术与“新技术”的舞台（乙方视角）。

第二季《论质量既“品牌”》主要围绕了网络安全产品“质量”与“品牌”之间错综复杂的关系、以及售后跟进的重要性（甲方视角）。

第三季《论“事前”企业信息安全建设》主要围绕了“事前”企业信息安全建设，主要从4个维度、3个方向进行规划与考虑。（甲方视角）

第四季《论大型闪电式红蓝对抗战术方法论——上篇：攻》主要围绕“矛盾”视角展开。努力地限制“矛盾”、控制“矛盾”、引导“矛盾”。（红队视角）

第五季围绕《论双赢即“客户”》，作为第一季与第三季的延展与补充。（全局视角）


现代社会中，“高质量”市场经济竞争背景下，“以客户为中心”是许多企业的流行口号，尤其是网络安全行业，本方向类型的“价值观”存在于各个企业。不过各方的不同演绎，也就是客户二字的的不同定义。

按照传统分类，“客户”主要范畴如下：

（1）消费客户

购买最终产品或服务的零散客户，通常是个人或家庭。

（2）B2B客户

购买你的产品（或服务），并在其企业内部将你的产品附加到自己的产品上，再销售给其他客户或企业以赢取利润或获得服务的客户。

（3）渠道、分销商、代销商

不直接为你工作的个人或机构，通常无需你支付工资。此类客户购买你的产品用于销售，或作为该产品在该地区的代表、代理处。

（4）内部客户

企业（或相关企业）内部的个人或机构，需要利用企业的产品或服务来达到其商业目的。这类客户往往最容易被忽略，而随着时间的流逝，他们也是最能盈利（潜在）客户。


本文主论（5）“双赢”即客户，抽象“客户”的直接定义且唯一定义。

“双赢”既客户，仅5个字，一旦抽象出来，便共有4个维度的思想升华

（1）什么是“客户”

（2）什么是“双赢”

（3）什么是“赢”

（4）附加“时间”概念


举例阐述笔者思想：

（一）什么是“客户”

笔者乙方时视角：销售是我的客户、甲方是我的客户、内部跨部门是我的客户等，也就是说一切可双赢为前提的“自然人”或“组织”都是我的客户。

笔者甲方时视角：乙方是我的客户、内部跨部门是我的客户、业务部门是我的客户等，也就是说一切以双赢为前提的“自然人”或组织都是我的客户。


（二）什么是“双赢”

A与B之间满足最“基本”所需、所求 或 可减少、降低成本（这里的成本可经济成本、时间成本、人力成本、精神成本、心里成本等）、形成“共赢”。


（三）什么是“赢”

“赢”要展开考虑，其抽象核心思想：要考虑对方“主赢”，也就是“主核心主诉求”，而考虑自身最低“基本诉求”。在宏观思想中，“赢”的概念里一定要忘记且去掉“金钱”概念，抽象并且总结成时间概念、成本概念、人力概念、品牌概念、心里概念、精神概念。

例如：我“养”一条狗，我与它“双赢”，这里便没有“金钱”概念，而其“我”是心里概念、精神概念、感情概念”等。而狗是“安全概念、归属概念、生存概念、心里概念、精神概念”等。


（四）附加“时间”概念

A与B在“双赢”的基础上，一旦附加“时间”概念，“客户”概念也随之消失，将会转化成“朋友”概念。但是一旦终止或长期以不均衡“双赢”的基础上，那么“朋友”概念，将会转化“客户”概念。如果长期持续维持“不均衡”或长期“终止”双赢，那么“客户”概念将会转化“敌人”概念。（此处“敌人”概念也指“陌生人”概念）


正如此篇文章，在总结的过程中，读者便是我的“客户”，抛砖引玉，引起共鸣，在写作的同时重新结构化自身的知识体系，而读者同样也或多或少受益，也就是说我的“客户”既是读者，读者的“客户”也是我。周而复始，许多“读者”也便成为了朋友，主论“双赢即客户”。


    随着社会经济的快速发展，互联网的高度普及，许多“面向对象”，发生了质的变化，从一对一，到一对多、多对多的概念。既面向对象发生了改变。

面向对象的改变，也直接改变了人、事、物的发展轨迹。

    笔者只管理“自身”的时候，回复“留言”很快。当笔者负责某个“业务”或者某个“大团队”的时候，回复“留言”很慢，甚至“遗忘”回复。其本质是“面向对象”的范围增大。

    某酒水最初原始价格相对“较低”，它面向的对象是“爱好”品尝它的群体。随之发展，其附属属性增加“收藏价值”，价格“水涨船高”，其本质是“面向对象”的范围变广。（这里涉及到另一个视角问题，既：改变商品属性便改变了原有价值，未来会更新）

    抽象同理阐述，既：增大客户“面向”对象群体基数既“捷径”，而其前提便是“双赢”。


后者的话：


    服务侧、销售测、前端侧、后台侧等，当其共有同一个面向对象既“经济价值客户为中心”时，此时每个不同的“侧”，其“主”矛盾是什么？其“次”矛盾是什么？其立场是什么？内部流转、配合、联动又会遇到什么“矛盾”？这是每一个网络安全行业的管理者值得深思的一个问题。

Micropoor

我的网络安全观：论大型闪电式红蓝对抗战术方法论——上篇：攻（第四季）

专注APT攻击与防御
2 years 4 months ago
引言


要严格区分和正确处理“敌我矛盾“和"内部矛盾”这两类不同性质的矛盾。要灵活运用到整体的战术中去，将最小的“资源”发挥最大的“力量”。努力地限制“矛盾”、控制“矛盾”、引导“矛盾”

——Micropoor



注：此方法论适用于组织、规划、牵头者，或KPI原始设计模型参考、或要多维度、多视角看待事物发展规律的技术人员等，本文不涉及技术，只从公司战略层面或内部组织管理层面考虑投入产出比，在控制投入的同时又可以将力量尽可能的发挥最大化，控制“主矛盾”，平衡“次矛盾”，集中力量办大事，相信，相信就会发生。


正言


    在大型的“闪电战式”红蓝对抗演练中，往往由多个平行部门、跨部门，甚至跨公司组成一个“临时”团队，“共同”对抗与应对“一定时间限制内”的红蓝对抗演练。而其中主要的资源将会采取“集中式”，主要的行动采取“闪电式”。但是在整体的行动路径上，都会发生这样与那样的“问题”，而这里的“问题”其主要抽象出来就是“矛盾”的性质与属性，而本篇“方法论”中，将会采取战术的可控流程与可控标准来限制“矛盾”、控制“矛盾”、引导“矛盾”，故本篇抛砖引玉出"战术"方法论。

    理想与现实往往是矛盾并且错综复杂的，尤其是在大型红蓝对抗中是涉及到，管理、流程、技术、战术、多方人员形成合力、成本、产出等系列问题交织在一起。一般大型红蓝对抗具有一定的时间限制，各方队伍，需要在指定的时间内，完成攻坚战，并且赢得竞争对手。


正文


假设场景与条件：本次大型红蓝对抗周期20天，内部参与跨部门3个，每个部门出15人，共计45人。部门分为别A、B、C


红蓝对抗现场人员队伍组成模型



现场红蓝对抗人员保持一个宗旨：跨部门混合式人员搭配。既“平衡”矛盾、“限制”矛盾、“融合”矛盾。



远程人员队伍组成模型


信息收集组：

主要做好提前信息搜集，如传统的互联网资产搜集、CMS、邮箱搜集等。也包含与目标股权有关联的子公司、分公司、供应链等。根据信息搜集整理后，大致判断目标内部网络是否在同一网络下、根据经验初步判断是否在同一内网。整理好信息后移交到“社工钓鱼组”。


社工钓鱼组：

主要根据“信息搜集组”整理后的资料，分门别类，做好相关“社工钓鱼”工作。包含但不限制于：邮箱钓鱼、手机钓鱼、APP通信软件钓鱼、供应链钓鱼、进源钓鱼等。


漏洞应用组：

主要根据“信息搜集组”整理后的完整资产（目标资产、关联资产、上下游资产、供应链资产等识别）快速定位已知CMS以及未知CMS，对于已知CMS做好自动化或bypass工作，对于未知CMS快速找到相关信息，做进一步“审计、挖掘”。


免杀对抗组：

免杀对抗组主要工作分2个方向，1）对抗安全工具。2）解密相关源码或逆向相关应用。分别支持“社工钓鱼组”的payload免杀安全对抗与“漏洞应用组”漏洞挖掘中的加密解密做“审计、挖掘”


内网对抗组：

主要支持“外网对抗组”、“社工钓鱼组”的工作。采取动态化时间作息。例如在前期工作中，内网对抗组整理开展内网工作中可能遇到的“安全工具对抗场景”、“CMS漏洞列表”等，充分与“漏洞应用组”交流，以便展开工作时，争取时间上的优势。


外网对抗组：

主要根据“信息搜集组”与“漏洞应用组”做2个方向工作，1）自动化，2）非自动化。在开展工作的过程中，采取1或2，主要根据目标的警觉性与反应速度决定、与目标的资产类决定、与目标的上下游资产决定、与目标的供应链广度决定。


机动远程组：

顾名思义机动组人员要求“经验老道”且“时间动态”，主要技能方向“bypass、反编译、加解密、漏洞挖掘、内网对抗”，分别根据动态工作中以便支持“漏洞应用组”、“免杀对抗组”、“内网对抗组”


后勤支援组：

顾名思义后勤支援组既远程队员的“物资”后勤保障，包括但不限制于“代理池、服务器、4/5G、可食用物资等”，根据经验尽可能由男女组合，因其核心要求“细心”、“坚持”、“沟通”。（因可能涉及到搬运、熬夜、记录）


工作流程

  1. 基础收集，由现场同步远程信息收集组，按照信息收集流程将目标基础信息搜集完毕
  2. 分配目标，由远程各打点组牵头人分配打点目标，2人一组进行打点
  3. 漏洞支援，期间打点组遇到需求漏洞的资产，同步至漏洞应用组进行漏洞支援。
  4. 内网渗透，获取权限后，由远程各组牵头人分配内网组渗透人员，2人一组进行内网渗透。
  5. 结果梳理，成果报告组 整理打点组、内网组成果，按照比赛规则进行编写报告。


人员激励模型 - 贡献积分制

 

机制：积分等于权重，组长按1-10分按照贡献程度给组员分配权重。

1：在设计人员激励的过程中，一定要以“小组”为核心设计，勿以“个人”为核心设计。每个组设“技术组长”一名，负责整组的“方向、行动、沟通、同步、跨组配合”（组长是技术型组长且加入到整个对抗工作中）

2：采取积分制记录，该工作为“成果报告组”跟进。以“小组”为单位，分别对接每个小组的“技术组长”。以每组进展、结果记录对应积分。



组织架构模型



结束语


整篇文章主要围绕2个核心问题而出发

（1）“敌我矛盾”

（2）“内部矛盾”

        其中用制度来限制“矛盾”扩散，用“工作流”来串联各个分工流转。将最小的“资源”发挥最大的“力量”。限制“矛盾”、控制“矛盾”、引导“矛盾”

       渗透的本质是信息搜集，对抗的本质是资源投入，而在整个对抗的过程中，“领队”最先优先考虑“有限的资源投入”如何最大化发现其“资源价值”。解决“资源、物力、人力、储备、架构、工作流、制度”等问题后，在回归到红蓝对抗的技术本身。

Micropoor

关于产品设计的一些拙见

huasec
2 years 4 months ago
停摆了半个月，对过去事情做个回顾，这是第一篇，关于产品设计的。一直有个执念，将简单繁琐的工作自动化，将复杂的

Managed ad