台灣駭客年會 HITCON Summer Training 2019

區塊鏈與智能合約安全

 6 小時   中文授課 

日期：2019 年 08 月 19 日（一天）
講師：Vic Huang
票價：NTD 17,000
課程難易度：普通

課程介紹（Course Description）

區塊鏈應用正在快速發展，同時也衍生出資安問題。本課程將針對區塊鏈 2.0 中智能合約應用之大宗 - 以太坊（Ethereum）進行十大安全威脅（DASP TOP 10）的實作與解說。

課程摘要（Course Outline）

1. Smart Contract & Solidity
2. DASP TOP 10
3. Smart contract honeypot
4. DAPP Pentest

學員先修技能（Prerequisite Skills for the Course）

Solidity

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
可執行瀏覽器 (chrome firefox safari 等皆可) 、RAM 4G 以上

Attacking and Defending Containerized Apps and Serverless Tech

 18 Hours   Courses Taught in English 

Date：2019 / 08 / 19  - 2019 / 08 / 21 （ 3 Days ）
Instructor：Nithin Jois
Price：NTD 55,000
Course Difficulty：Normal

課程介紹（Course Description）

With Organizations rapidly moving towards micro-service style architecture for their applications, container and serverless technology seem to be taking over at a rapid rate. Leading container technologies like Docker have risen in popularity and have been widely used because they have helped package and deploy consistent-state applications. Serverless and Orchestration technologies like Kubernetes help scale such deployments to a massive scale which can potentially increase the overall attack-surface to a massive extent, if security is not given the attention required. Security continues to remain a key challenge that both Organizations and Security practitioners face with containerized and, serverless deployments. While container orchestrated deployments may be vulnerable to security threats that plague any typical application deployments, they face specific security threats related to the containerization daemon, shared kernel, shared resources, secret management, insecure configurations, role management issues and many more! Serverless deployments on the other hand, face risks such as insecure serverless deployment configurations, Inadequate function monitoring and logging, Broken authentication, Function event data injection & Insecure application secrets storage. Attacking an infrastructure or Applications leveraging containers and serverless technology requires specific skill-set and a deep understanding of the underlying architecture. This training has been created with the objective of understanding both offensive and defensive security for container orchestrated and serverless deployments. It will be a 3 day program that will detail through specific theory elements with extensive hands-on exercises that are similar to real-world threat scenarios that the attendees will understand and take part in and, will also understand ways in which containerized and serverless deployments can be attacked, made secure, yet scalable, efficient and effective.

The training consists of, but not limited to the following focus areas in Container Security and Serverless Deployment:

1. Introduction to Container Technology
2. Containerized Deployments and Container Orchestration Technologies
3. Container Threat-Model
4. Attacking Containers and Security deep-dive
5. Introduction to Kubernetes
6. Threat-Model of Orchestration technologies
7. Attacking Kubernetes
8. Kubernetes Defense-in-Depth
9. Logging & Monitoring Orchestrated deployments
10. Introduction to Serverless
11. Deploying Application to AWS Lambda
12. Serverless Threat-Model
13. Attacking a Serverless Stack
14. Serverless Security Deep-dive

課程摘要（Course Outline）

Day 1
Session 1
Evolution to Container Technology and Container Tech Deep-Dive:

1. Introduction to Container Technology
   • Namespace
   • Cgroups
   • Mount
2. Hands-on Lab: Setting up a Minimal Container with nothing but Namespaces and CGroups
3. Introduction to Containerized Deployments - Understanding and getting comfortable using Docker.
4. An Introduction to containers
   • LXC and Linux Containers
5. Introducing Docker Images and Containers
6. Deep-dive into Docker
7. Docker Commands and Cheatsheet
8. Hands-on:
   • Docker commands
   • Dockerfile
   • Images

Session 2

1. Introduction to Basic Container Orchestration with Docker-Compose
2. Docker Compose
   • Introduction to docker-compose
   • Hands-on:
     • ) Docker-compose commands
     • ) Docker Compose Deep-Dive
3. Application Deployment Using docker
4. Hands-on
   • Containerize an application
   • Deploying a containerized application
   • Deploy a containerized application using docker-compose
5. Threat Landscape- An Introduction to possible threats and attack surface when using Containers for Deployments.
6. Threat Model for Containerized Deployments
   • Daemon-related Threats
   • Network related Threats
   • OS and Kernel Threats
   • Threats with Application Libraries
   • Threats from Containerized Applications
7. Traditional Threat-Modelling for Containers with STRIDE
   • Spoofing
   • Tampering
   • Repudiation
   • Information Disclosure
   • Denial of Service
   • Elevation of privileges

Session 3

1. Attacking Containers and Containerized Deployments
   • Hands-on
   • Container Breakout
   • Exploiting Insecure Docker Configurations
   • OS and Kernel level exploits
   • Trojanized Docker images
2. Securing Containers and Container Deployments
3. Container Security Deep-Dive
   • Hands-on
   • AppArmor/SecComp
   • Restricting Capabilities
   • Analysing Docker images
4. Container Security Mitigations
5. Hands-on: Container Vulnerability Assessment
   • Clair
   • Dagda
   • Anchore
   • Docker-bench

Day 2
Session 1

1. Introduction to Scalable Container Orchestrators
   • Getting started with Kubernetes
2. Understanding Kubernetes Architecture and Components
3. Hands-on:
   • Exploring Kubernetes Cluster
   • Deploying application to Kubernetes

Session 2

1. Attacking Kubernetes Cluster
2. Kubernetes Threat Model
3. Attack Surface for a Kubernetes Cluster
4. Hands on:
   • Attacking application deployed on Kubernetes
   • Exploiting a Vulnerable Kubernetes cluster
   • Maintaining Persistent Access and Pivoting in the K8s Cluster
   • Dissecting the K8s Attack and identifying Security Missteps

Session 3

1. Kubernetes Security Deep-Dive
2. K8s Threat Model and its counterpoint in Security Practices
3. Hands-on: Ideal Security Journey: Kubernetes
   • Pod Security
   • Access Control
4. Secret Management
5. Hands-on: Kubernetes Vulnerability Assessment
   • Kube-sec
   • Kube-hunter
   • Kube-bench
6. Hands-on: Logging and Monitoring
7. Logging and Monitoring specific Parameters within the K8s Cluster
8. Identifying anomalies (especially security) with the K8s Cluster
9. Hands-on: Kubernetes Network Security Implementation
   • Network Security Policy
   • Service Mesh - Istio/Envoy

Day 3
Session 1

1. Serverless Introduction
   • Understanding Serverless and FAAS(Function-As-A-Service)
2. Quick tour of FAAS(Function-As-A-Service) and BAAS(Backend-As-A-Service)
3. ntroduction to AWS Lambda, S3, Open-FAAS and other Serverless options
4. Serverless Deep-Dive
5. Introduction to Architecture of Serverless Deployments
6. Hands-on: Deploying a Serverless application

Session 2

1. Attacking Serverless applications
2. Serverless Architectures Security Top 10 - A Project similar to OWASP Top 10 for Serverless Apps
3. Function Data Event Injection Attacks against FaaS Implementations:
   • Hands-on Labs - Function Data Event Injection (Multiple Sources)
4. Other Injection and Remote Code Execution attacks against Serverless Apps
   • Broken Access Control
   • Hands-on: Attacking Stateless Authentication and Authorization (JSON Web Tokens)
5. Algorithm Confusion
6. Inherent JWT flaws - none signed token, etc
7. Attacks based on JWK and JWT Claims
8. Attacking Identity and Access Management through Serverless Implementations
   • Hands-on: View of IAM Sprawl and Permissions
   • Hands-on: Attacking with DynamoDB Injection + IAM Permissions creep
9. Other Serverless Attacks
   • Hands-on: Extracting Secrets from FaaS Implementations
   • Hands-on: Leveraging Vulnerabilities like ReDOS to perform Resource Exhaustion Attacks
   • Hands-on: Exploiting Function Execution Order for fun and profit!

Session 3

1. Securing Serverless applications
2. Identity and Access Management
3. Secret management
   • Hands-on Secrets Management with AWS Secret Manager + Rotation
4. Logging and Monitoring Functions
   • Hands-on: Security Practices for Logging Serverless Functions
   • Hands-on Using AWS X-Ray/Zipkin to leverage tracing for security
   • Hands-on: Serverless Vulnerability Assessment
5. Static Code Analysis[SCA]
6. Static Application Security Testing[SAST]
7. Dynamic Analysis Security Testing[DAST]

Capture The Flag
Attacking a Serverless Application - mini CTF Segment
 

學員先修技能（Prerequisite Skills for the Course）

Attendees should have a basic understanding of Linux environment and know their way around the terminal. A basic understanding of ‘OWASP TOP-10 Vulnerabilities’ and ‘Basics of Docker’ will be helpful

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. We have created cloud labs for all the exercises and labs of the program to work. You will need a terminal program to SSH into the remote lab environments. These programs should work fine:
   • Mac OSX => ITerm2 or Terminal (no need to install),
   • Windows => Putty or Cygwin
   • Linux => Terminal (no need to install anything else)
2. A valid AWS account with paid/free-tier access to Lambda with permission to deploy and run lambda applications will be necessary.

Binary Exploitation

 12 小時   中文授課 

日期：2019 年 08 月 20 日 - 2019 年 08 月 21 日（兩天）
講師：楊安傑（Angelboy）
票價：NTD 44,000
課程難易度：困難

課程介紹（Course Description）

在有了基本的 Binary Exploitation 概念後 （Stack overflow、Return to Library），本課程會介紹一般常見 C/C++ 中常會出現的漏洞，並在目前系統的各種保護下，學習如何利用所發現的漏洞，也將學習到一般寫程式該如何寫出更安全的程式碼及更要注意的地方，另外本課程更加著重於 Heap 及 File Stream 利用方面的技巧，培養不同漏洞方面的思路。(本課程以 Windows 10 64 bit 為主）。

課程摘要（Course Outline）

1. Shellcoding
2. Return-Oriented Programming
3. Heap Exploitation
4. FILE Stream Exploitation

學員先修技能（Prerequisite Skills for the Course）

基本資料結構、作業系統、C 語言及 Python 基礎應用、基本的 stack overflow (Return to library)、組合語言

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. 須為任何一台可以跑 pwntools 的虛擬機 (Ubuntu 18.04 為佳)
2. Windows 10（1809 or 1903）64 bit Enterprise or Professional 虛擬機

當工業控制系統（ICS/SCADA）遇上駭客

 6 小時   中文授課 

日期：2019 年 08 月 19 日（一天）
講師：Mars Cheng
票價：NTD 17,000
課程難易度：普通

課程介紹（Course Description）

當工業控制系統遇上駭客，究竟會蹦出什麼樣的火花，駭客到底是如何對工業控制系統造成無法挽回的傷害呢？本課程將深入淺出地說明工業控制系統的概念，以及該如何對工業控制系統造成傷害。

課程摘要（Course Outline）

1. 何謂工業控制系統（Lab*1 讓你知道如何寫 PLC 程式）
2. 工業控制系統資安威脅與趨勢
3. 工業控制系統攻擊面向剖析
4. 工業控制通訊協定簡介（Modbus RTU/TCP、DNP3、S7、BACnet、EtherNet/IP、OPC 等）
5. 工業控制系統協定分析（Lab*4 讓你知道協定怎麼運作怎麼分析）
6. 工業控制系統協定攻擊手法實作（Lab*7 讓你動手攻擊 ICS）

學員先修技能（Prerequisite Skills for the Course）

會打開 Wireshark 、看得懂 Python

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. 請準備可匯入 ova 並執行虛擬機器之環境（課程預計提供 3 套 VM）
2. 硬碟空間需求 40G 以上，記憶體 8G 以上（需同時開啟 3 台 VM）

當物聯網（IoT）遇上駭客

 6 小時   中文授課 

日期：2019 年 08 月 20 日（一天）
講師：Mars Cheng
票價：NTD 17,000
課程難易度：普通

課程介紹（Course Description）

萬物聯網的時代，物聯網的應用已成為人們生活中密不可分的一部分，相對其資安威脅也日益增長。本課程將由淺入深逐步說明物聯網概念、架構及相關攻擊面向與攻擊手法，讓學員可一窺物聯網安全的世界。本課程有相當多的實作時間，適合想要被手把手教學的學員們報名。

課程摘要（Course Outline）

1. 何謂物聯網（IoT）？
2. OWASP IoT Top 10 2018 剖析
3. 物聯網攻擊面向剖析
4. 體驗物聯網 - MQTT 通訊協定模擬
   • 使用Shodan尋找攻擊標的（Lab）
   • MQTT與物聯網（Lab）
5. 不可不知的物聯網韌體分析與攻擊
   • 物聯網韌體分析流程
   • 物聯網韌體分析實作（Lab）
   • 物聯網韌體攻擊實作（Lab）
6. 物聯網惡意程式分析與實作
   • 建立C&C（Lab）
   • 分析與編譯物聯網惡意程式（Lab）
   • 建置物聯網殭屍網路（Lab）

學員先修技能（Prerequisite Skills for the Course）

具備基本 Linux 指令操作能力

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
VM Ware 等、8G 以上記憶體及 30G 以上空間

惡意程式分析原理及實務

 18 小時   中文授課 

日期：2019 年 08 月 19 日 - 2019 年 08 月 21 日（三天）
講師：zha0
票價：NTD 55,000
課程難易度：普通

課程介紹（Course Description）

1. 惡意程式分類及分析環境建置
2. 靜態分析
3. 動態分析
4. 組合語言與反組譯
5. 使用 IDA 進行反組譯
6. 除錯惡意程式
7. 惡意程式的功能與啟動方式
8. 程式碼注入(Injection)與攔劫(Hooking)
9. 惡意程式中常用的迷惑手法
10. 記憶體中的惡意程式查找

課程摘要（Course Outline）

1. 介紹惡意程式分析
   • 惡意程式分類
   • Lab 環境建制
   • 樣本來源
2. 靜態分析
   • 判斷檔案型態
   • 判斷惡意程式
   • 防毒掃描與沙箱結果
   • PE 檔案格式分析器
   • 撰寫 Yara 規則
3. 動態分析
   • 系統與網路監控
   • 沙箱/HIPS
   • DLL 分析方式
4. 組合語言與反組譯
   • 電腦觀念（記憶體, CPU, 機器語言）
   • CPU 暫存器
   • 組語指令（資料傳輸, 算數運算, 分支/條件, 迴圈, 函數, 陣列與字串, 字串處理, 結構...）
   • x64 CPU 架構
5. 使用 IDA 進行反組譯
   • 靜態程式碼分析（反組譯, 十六進制, 函數, 結構, 導出/入表, 字串...）
   • 提升分析技能
   • 使用 IDA 腳本
   • 撰寫 IDA 腳本
6. 除錯惡意程式
   • 一般除錯概念（什麼是中斷? 中斷的類型？）
   • 如果除錯系統服務（Services）
   • 在 32 與 64 下的差別？
   • 使用 IDA 進行除錯
   • 如何除錯 .NET 程式
7. 惡意程式的功能與啟動方式
   • 惡意程式功能（下載器, 譯放器, 鍵盤側錄, C2 連線方式...）
   • 啟動方式（系統排程, 啟動目錄, DLL/COM Hijack, 服務 ...）
8. 程式碼注入（Injection）與攔劫（Hooking）
   • 記憶體的概念（使用者與內核）
   • 程式碼注入手法（DLL/APC Injection, SetWindowsHookEx, ShimEngine, Process Hollowing...）
   • 程式碼攔劫手法（IAT Hooking, Inline Hooking, Patch table/code）
9. 惡意程式迷惑手法
   • 簡單的編碼（Base64, XOR, 查表...）
   • 加密（RC4, AES, DES, RSA...）
   • 加密時可以使用什麼工具？
   • 加殼與解殼
10. 記憶體中的惡意程式查找
    • 記憶體取證與鑑識
    • Volatility 介紹
    • 列舉程序
    • 列舉模組（SYS/DLL）
    • 使用 Yara 進行記憶體掃描
    • 取出記憶體區塊進行分析
    • 內核 Rootkit 常見手法查找

學員先修技能（Prerequisite Skills for the Course）

計算機概論, 程式語言基礎

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備 VMware。

How to Make an Insect Specimen: a Case of Roaming Mantis ~ How to Track C2 Via OSINT & Analyze Malicious Android APK

 6 Hours   Courses Taught in English 

Date：2019 / 08 / 22 （ 1 Day ）
Instructor：Hiroaki Ogawa (McAfee), Manabu Niseki (NTT), Suguru Ishimaru (Kaspersky)
Price：NTD 17,000
Course Difficulty：Normal

課程介紹（Course Description）

Roaming Mantis is a campaign which uses DNS hijacking to distribute cyber threats such as web-mining, phishing and malicious Android applications. This criminals activities were discovered by Mcafee. After then, the campaign is named by Kaspersky in April 2018 and it’s still very active and rapidly evolving.

We’d like to propose a hands-on (3 or 6 hours long) for research including below topics that takes the campaign as an example. Honestly, more than 80% of our training is hands-on. Because, we believe analysts / researchers have doing own way everyday. So, we just want to share and introduce our way, method, tools and viewpoints with attendees through this course.

Topics:

1. An overview of Roaming Mantis
2. C2 / landing page hunting
3. Techniques for practical C2 / landing page hunting
4. Android malware analysis
5. Techniques for practical Android malware analysis

Goals:

1. Being able to find C2 servers / landing pages by using Internet search engines (Shodan, Censys, ONYPHE, urlscan.io and etc.).
2. Being able to conduct a static analysis of malicious Android apk to disclose details such as unpacking, C2 destination and backdoor features.

References:

https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/android-banking-trojan-moqhao-spreading-via-sms-phishing-south-korea/

https://securelist.com/roaming-mantis-uses-dns-hijacking-to-infect-android-smartphones/85178/

https://securelist.com/roaming-mantis-dabbles-in-mining-and-phishing-multilingually/85607/

https://securelist.com/roaming-mantis-part-3/88071/

課程摘要（Course Outline）

1. What is Roaming Mantis?
   • An overview of Roaming Mantis campaign
2. C2 / landing page hunting
   • How to hunt C2 / landing page by using following techniques:
     • HTML analysis
     • Tracker / Cookie analysis
     • IP / Domain analysis
     • SSL analysis
   • How to write a search query on search engines (Shodan, Censys, ONYPHE and urlscan.io)
   • How to extract landing pages via a rogue DNS server
   • Labs Finding a real C2 / landing page
3. Android malware analysis: MoqHao/XLOADER
   • Surface analysis.
     • Structure of APK
     • Understanding Permission
   • Dynamic Analysis
     • Debugging with an Android smartphone
     • Network Traffic Analysis
       • Introduce an Analysis Environment
       • PCAP file Analysis
   • Static analysis of loader module: To extract core module like unpacking
     • Decompiling clasess.dex by tools (e.g. jadx(-gui), dex2Jar, android studio, JD-GUI)
     • Finding decode/decrypt code and encrypted data
     • Make short script for decode/decrypt data to extract core module
   • Static analysis of core module
     • Finding hardcoded C2 and decrypt functions for real C2
     • Make short script for decode/decrypt real C2
     • Finding backdoor features
     • Finding update feature
4. Advanced challenge (if we have time)
   • Develop monitoring tool?
   • Moqhao/XLoader
     • Analysis all backdoor features
     • Finding potentially vulnerability?(or wrong software design) from core module to get control botnet
   • Creating cool yara rule for detections, grouping malware families and hunting new samples
   • Fully analysing another malicious APK (FAKESPY)
     • Reversing native code (.so) for understanding decode/decrypt algorithm to extract core module like unpacking
     • etc...

學員先修技能（Prerequisite Skills for the Course）

1. Basic programing: Python, Java, C and etc. (Not required but recommended)
2. Basic operation of VirtualBox and OS.
3. Basic knowledge of network traffic analysis.

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
Hardware:
A laptop with a minimum 20GB free disk space (SSD is strongly recommended) and 8GB RAM capable of running VMs.

Software in Host OS (Windows / MacOS / Linux):
VirtualBox

Software in Guest VM (Windows / Linux)
- Guest VM (Windows / Linux):

1. Chrome
2. aapt(Android SDK Build Tools)
3. Wireshark
4. jadx(-gui)
5. dex2Jar
6. android studio (contains aapt) JD-GUI IDA free 7.0 We are planning to bring a Guest V

Practical Web Hacking and Exploitation

 12 小時   中文授課 

日期：2019 年 08 月 19 日 - 2019 年 08 月 20 日（兩天）
講師：Boik
票價：NTD 33,000
課程難易度：普通

課程介紹（Course Description）

This course will focus on advanced vulnerability identification and exploitation techniques and allow attendees to get familiar with some tricky but decent ways that were actually used and exploited in the real world. Several hands-on practices demonstrating different possible scenarios will be given while we go through chapters of the course. Hence, attendees will gain experience when trying their best to carry out an attack they just learned. There will be also several new techniques being shown during the course exclusively, which can give attendees the insight into the problems of vulnerability.

課程摘要（Course Outline）

1. A quick review of the latest OWASP TOP 10 and some case studies
2. Lab 1: Not-so-Easy practices
3. XSS - From old tricks to surprising mutations
4. SQL Injection - Various types of exploitations and rationales behind these attacks
5. Lab 2: Hands-on practices part one
6. Go through some bug-bounty write-ups
7. Neat and novel exploitation techniques come out because of new languages and frameworks
8. Lab 3: Hands-on practices part two
9. How to defend against malicious payloads? Talking about traditional and innovative detection methodology.
10. The future and possibility of the automatic exploit generation for web applications

學員先修技能（Prerequisite Skills for the Course）

1. Of the course
   • Understanding of basic concepts of HTML and JavaScript
   • Know how an HTTP request or response flows
2. Of the tools or extensions used in the course
   • Docker
   • webExtensions
3. Of who wanna learn more from the course
   • Experience in developing any website
   • Experience in any front-end framework

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. Ubuntu 環境（14、16、18 皆可）
2. 安裝好 Docker 跟 Firefox ESR 52

Making yourself a toolman

 6 小時   中文授課 

日期：2019 年 08 月 21 日（一天）
講師：Boik
票價：NTD 17,000
課程難易度：普通

課程介紹（Course Description）

網頁安全一直都是網頁開發者不容忽視的問題！面對層出不窮的威脅，個人增進自身能力並廣泛了解弱點成因是更是刻不容緩的事情；同時，擁有完善的工具並能運用自如，或是能夠根據需求重新開發更適合的工具，在處理網頁安全的議題上也往往能事半功倍。因此在此課程中，我們將深度理解幾套有名的工具，並教導學員如何因應不同需求更改並撰寫工具程式碼，甚至擴充其功能並提交更改請求至開發項目讓所有其他使用者受益。

除了理解並修改程式碼外，課程後半段也會教導如何使用 Python 撰寫自己的 CLI 工具，及 Node.js 開發 GUI 介面，並期望在課程結束後各位能夠開發出更多好用的滲透及防禦工具並貢獻到網頁安全領域中。

課程摘要（Course Outline）

1. OWASP TOP 10 - 2017 簡介
2. 網頁安全領域中的工具介紹及普查
3. 幾套工具程式碼的架構概觀及程式碼審閱
4. [Lab] 實際修改工具並攻擊練習網站
5. 網頁安全工具中常見模組及處理方式
6. Python 語言簡介及網頁安全工具中常見模組抽象化實作
7. Node.js 語言簡介及網頁安全工具中常見模組抽象化實作
8. [Lab] 實作出能夠滲透練習網站的工具雛形

學員先修技能（Prerequisite Skills for the Course）

1. 了解網頁 HTTP Request, HTTP Response, HTML, JavaScript
2. 理論上知道網頁安全是什麼
3. 有寫過任意程式語言，理解基本程式流程及常見指令 (if, for, while ...)

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
If possible, bring a dedicated laptop running on any kinds of OS (preferably ubuntu or macOS) with git, python 3, node.js LTS installed.

Web application vulnerability migitation: from an attacker's perspective 從入侵者的角度探討網頁漏洞之防禦

 6 小時   中文授課 

日期：2019 年 08 月 20 日（一天）
講師：林書瑾 (bookgin)
票價：NTD 11,000
課程難易度：普通

課程介紹（Course Description）

網頁攻擊相關手法日新月異，本課程將從攻擊者的角度出發，探討近年來新興的網頁攻擊技巧，再透過這些攻擊手法，探討網頁的防禦面設計，如何正確撰寫網頁架構與程式碼、設定網頁伺服器，以達到防禦網頁漏洞的效果。除了避免有漏洞的程式碼，緩解漏洞造成的損害亦是重要的一環，架構、分層的防禦設計也會在課程中探討。

本課程會有許多實務操作的部份，除了大量攻擊手法的實做之外，將防禦面的實做也會深入探討/實做，無論是想學習攻擊或是防禦相關技巧，都非常適合參與本課程。

課程摘要（Course Outline）

1. Server side: Cross-site scripting (XSS)
   • Attack:
     • XSS attack
   • Mitigation:
     • Content-security Policy:
       • How to correctly config scirpt-src
       • other directives: default-src, style-src...
       • CSP Wizard: report-uri
       • Pitfalls
     • Secure cookies:
       • Secure & HTTPS
       • HTML5 storage
2. Client side: other cross-site attack
   • Attack:
     • CSRF
     • Cross-site leak (XS-Leak)
     • Clickjacking
   • Mitigation:
     • HTTP headers
     • csrf token
     • validate header
   • CORPS: the correct usage
3. HTTPS
   • Attack:
     • LAN-based: SSL Stripping
     • DNS-based: domain hijack
   • Mitigation:
     • HSTS
     • Strict-transport
     • OCSP Stapling
     • reverse proxy: proxy ssl
4. Proxy and framework-specific vulnerability
   • Attack:
     • Proxy/webserver
       • nginx
       • apache
     • Language-specific/prone vulnerability
       • PHP
       • Other frameworks: Nodejs, python ...
       • Language-specific: prototype, template, SQLi
       • General: serialization, regex, eval, exec
   • Mitigation:
     • Proxy/webserver
       • correctly config webserver
       • reverse proxy
     • Language-specific security practices
       • PHP
       • Other frameworks: Nodejs, python ...
       • escape and validate
       • Never trust users
5. Other client/server-side attack and mitigation

學員先修技能（Prerequisite Skills for the Course）

1. 有基礎網頁安全知識為佳
2. 有網頁開發經驗為佳

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
能執行瀏覽器 (Chrome / Firefox)

Windows APT Wafare

 18 小時   中文授課 

日期：2019 年 08 月 19 日 - 2019 年 08 月 21 日（三天）
講師：馬聖豪
票價：NTD 55,000
課程難易度：簡單

課程介紹（Course Description）

在防毒軟體與漏洞防護技術持續精進的兩面夾殺之下，對於紅隊測試甚至第一線的網軍而言，每年即使爆出一批又一批好用的漏洞成功攻擊拿下了主機控制權，在後滲透測試階段採用了 Metasploit、Ivy、Powershell 等知名手段仍然難以規避資安防護檢測而喪失了控制權。對於駭客，難道面對上了防毒軟體與安全研究人員只能逃嗎？

逃避雖可恥且還無用，先理解敵人、就能選擇正確的策略反擊。由於防毒軟體也是資安廠商設計出來的產品，因此在「開發設計概念」上就會有許多盲區有機會被惡意利用。課程內容將從始於 Windows XP 時代的權限分級探討至最新版本 Windows 10 企業版上已知的防毒產品設計之美、盲點 與 攻擊策略面，並在課程中打下扎實的 Windows 系統知識與結構體基礎、帶學員動手做出一些有趣的研究並理解其中駭客攻擊的原理。

課程摘要（Course Outline）

1. 惡意攻擊需求
   • 惡意攻擊可以做什麼?
     • 短期或長期需求
     • 一次性需求
   • 攻擊串鏈 (Kill-Chain) or 感染途徑 (RCE)
     • 釣魚信件
     • 使用者應用程序級缺陷
     • 供應鏈打擊
     • 系統級缺陷
     • 弱密碼遠程管理服務
2. 防毒紅白對抗賽
   • Windows 權限分級
     • UAC（User-Account-Control）防護
     • 服務權級與分發
   • 馬其諾防線
     • 特徵校驗（特徵碼)
     • 芝麻信用點數
     • 數位簽章
     • 雲端點防禦
     • 虛擬機級檢測
     • 人工智慧檢測
     • 持久化防禦
   • 各家廠商產品實作粒度評比
     • Windows Userland Internal
     • 惡意濫用信任盲區反擊資安產品
       • 活在陌生樣本級別
         • 特徵碼比對
         • 芝麻信用點數
           • 靜態函數引用組（引入函數表）
           • 動態行為分析（主動防禦）
           • 模擬機級檢測
         • 人工智慧分析
           • 白樣本污染
           • 特殊新樣本
         • 雲查殺
           • 避免大量灑出同樣樣本
           • 自動化變異樣本需求
       • 取得防毒檢測信任
         • 數位簽章
         • 偽裝防毒自身產品
       • 對抗分析人員 / 事件稽核
         • Shellcode 開發與撰寫
         • PE Loader 自造
         • 自動化 LLVM 編譯器混淆
         • 混淆程式碼 與 虛擬機自造

學員先修技能（Prerequisite Skills for the Course）

C/C++, 資料結構

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
Windows 7 x86 佳

揣摩軟體安全 - 學習系統攻防

 12 小時   中文授課 

日期：2019 年 08 月 20 日 - 2019 年 08 月 21 日（兩天）
講師：Kenny
票價：NTD 33,000
課程難易度：普通

課程介紹（Course Description）

本課程非常適合有程式基礎，且有心想要學習資安入門，卻又苦於不知該從何著手的學員，課程內容濃縮自講者自身的資安學習經驗，透過詼諧有趣的軟體修改實戰過程，從零開始一步步的學習系統底層知識與駭客記憶體攻擊手法，期望能培養出讓學員有獨立逆向分析 & 撰寫底層攻防程式的能力。

課程摘要（Course Outline）

1. 靜態分析 - IDA 與他的快樂小夥伴
   • 基礎介面操作
   • 突破點與經驗法則
   • 實用的 IDA Script 分享
2. 動態分析 - Ollydbg / xd64bg 時代的眼淚
   • 基礎介面操作
   • 插件大補丸與運用

1. 快快樂樂學組語
2. 指令暫存器的妙用
3. 軟體破解實戰 - 某知名的16進位編輯器的註冊破解

1. Anti Debugger Trick
   • Teb / Peb 介紹與秘密
2. Anti Vm Trick
   • 眾多奇技淫巧
3. 防止多重開啟的秘密 - 某知名通訊軟體的多開破解

1. 加殼技術介紹與運用
2. 軟體程式碼虛擬化保護方案 - 虛擬機殼

1. 軟體斷點 / 硬體斷點 / 記憶體斷點介紹
2. Anti Memory Pached 技術的梗
   • 誰動了我的程式碼!?
3. 神奇妙用 - 無痕的 Memory Hijack
   • bypass 記憶體檢測修改

1. Autorun 持久化控制
   • 通用且隱蔽的 autorun 方法
2. Shellcode 快速開發技巧
   • PE To Shellcode

學員先修技能（Prerequisite Skills for the Course）

基礎程式能力

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. Win10 x64 OS
2. Visual Studio 2017
3. IDA Pro

Windows Filter Driver - 核心層攔截情資工具開發

 6 小時   中文授課 

日期：2019 年 08 月 21 日（一天）
講師：莊般若
票價：NTD 11,000
課程難易度：簡單

課程介紹（Course Description）

對資安人員所使用在 Windows 系統上開發防禦腳本執行及其他病毒載入的工具── Windows Filter Driver 做基本概述。 介紹在 Windows 系統核心層級獲取 I/O 指令與內容並修改或紀錄的方法，以及相關開發除錯。

課程摘要（Course Outline）

1. Background
2. I/O request packet
3. Kernel API
4. Driver Developing
   • IRPs hooking
   • Process commands hooking
   • Logging events
5. User/Kernel Communication
6. Driver Debugging
7. Driver Signing

學員先修技能（Prerequisite Skills for the Course）

1. 熟悉 Windows作業系統
2. 熟悉 C/C++
3. 對於系統 API 函數調用有初步認識與理解

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：

1. VM Ware or Virtual Box installed
2. Windows 10 x64 installed VM
3. Visual Studio 2017/2019 related plugin SDK10
4. WDK10 (sync version with SDK)
5. MoreInfo:https://docs.microsoft.com/en-us/windows-hardware/drivers/download-the-wdk

APT Threat Hunting and Malware Reversing

 12 小時   中文 

日期：2019 年 08 月 20 日 - 2019 年 08 月 21 日（兩天）
講師：Inndy Lin, Bletchley Chen
票價：NTD 33,000 
課程難易度：普通

課程介紹（Course Description）

隨著資訊系統日益複雜及網路邊界日益模糊，建構一完全安全的系統幾乎是不可能的。因此對於任何企業都需要具備事件調查的能力，以抵禦必然會出現的網路攻擊。而進一步的威脅獵捕，主動並持續的於企業內部挖掘可能的攻擊行為， 更是縮短攻擊者潛伏時間，避免進一步危害且增強企業資安韌性的必備技能。在此課程中，我們會從藍隊基礎的知識開始介紹，並說明如何利用MITRE ATT&CK框架。技術部份，則會從基礎的System Forensic Disk Forensic Memory Forensic到進階的Network Threat Hunting及Endpoint Threat Hunting，由淺入深的進行實戰演練。最後則會介紹我們近期APT惡意程式的行為，並介紹如何分析惡意程式。在課程中，我們會現場模擬APT攻擊情境，並馬上對此情境進行威脅獵捕，並以CTF的形式一步步帶學員操作調查。也會分享最近的APT案例探討與我們的調查經驗分享。

課程摘要（Course Outline）

1. Introduction
   • Introduction to APT
   • MITRE ATT&CK Framework
   • Concept of threat hunting, threat intelligence and cyber resilience
2. Basic Forensic
   • System Forensic
   • Disk Forensic
   • Memory Forensic
3. Network Threat Hunting
   • Large scale packet analysis
   • Case study
4. Endpoint Threat Hunting
   • Event Log Analysis
   • Yara
5. Malware analysis
   • APT Malware Technique
   • Reversing Engineering Tricks
   • Shadow Hammer 

學員先修技能（Prerequisite Skills for the Course）

Basic Programming, Windows OS Concept

學員自備工具（Equipments & Tools Need to Bring）

學員自備筆電，並準備以下需求：
- VirtualBox