---

※ 引述《andy580707 (紅色禮物)》之銘言：
: 柯P官網也被駭惹
: 好多篇新聞都有這個連結
: http://ppt.cc/XfFC
: 看來柯P露得比較多呀
: https://www.youtube.com/watch?v=YSo7JbwbvIw
: 附上完整影片
: 板凳雞排買好了嗎??

        順便來作點科普教育好了，
        其實網站的弱點跟每個使用者來講是非常切身的。

        多講一點是一點。

        --------------------------


        基本上這是所謂的弱點掃描 (vulnerability scanner)，
        也就是因為網路上有許多網站是用現成的 framework，

        這些 framework 也是人寫的，用的人多自然就會有人鑽門研究他們的弱點。


        --------------


        以柯文哲來講是部份看起來是自己從頭做的，
        也有一部分是用 wordpress (原始碼看得出來)。

        （至於怎麼看，基本上你看原始碼，
          有出現 wp-content 就是 wordpress 體系了。
          看外觀不準，因為都可以大幅修改外觀，
          像 http://kptaipei.tw 就是個例子。）

        連勝文網站據說是 joomla 為主。


        --------------


        然後這些掃描程式就會針對這類 CMS 去進行內容掃描，
        但有幾個問題，大多數的弱點掃描是所謂「看到黑影就開槍」。


        所以文中才需要分 low 、medium、hight ，
        三種不同風險(risk) 的 vulnerability (弱點)，

        這個東西主要要看 high risk 的，為什麼呢？


        舉個例子影片中的 low risk ，大家仔細看可以看到這張圖。
        http://imgur.com/x03MHNk


        其中提到

        * possible sensitivity files （可能的敏感檔案）

          並以這個為例
          http://kptaipei.tw/wp-content/themes/namo/readme.txt

          其實這是所謂的 theme (樣板)介紹，一點也不敏感。

          只是它透過掃(或猜測)所有公開在網路上的 url ，找到這個檔案而已。


          在 wordpress 上使用樣板，
          留下介紹以表達支持樣板或之類的也不是什麼罪大惡極的事情。XD


        --------------

        medium  裡面其實也看起來都是針對所謂「加密連線」的抱怨，
        但沒有作金流、沒有作一般會員系統，要不要採用加密連線、我覺得還好。


        柯文哲團隊很顯然很瞭解 SSL 是怎麼回事，
        因為政治獻金網站就有強迫使用 SSL  。

        https://donate.kptaipei.tw/


        --------------

        至於比較重要的 high-risk 裡面宣稱的 blind sql injection ，
        rss2 跟 admin-ajax.php ，剛用資料庫基本的作法測了一下是沒發現問題。


        考慮到有些 vulnerability scanner 會針對歷史 vulnerability 看到就開箱，
        也傾向認為是誤判。



        ---------------


        當然如同前面版友推文說得，就算退一萬步真的有 vulnerability ，

        因為每個 vulnerability 需要的條件不一樣，
        有沒有機會被打進去都是個問題。


        如果有人有測到進一步的弱點也可以提出來討論，
        或寫信給柯 p 讓柯p 改進。 open@kptaipei.tw


        就連大網站如 facebook 也是常常被找到弱點，
        還有所謂的弱點懸賞計畫。


        資訊安全這個問題其實還是有賴全民資安意識的養成。

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.166.151.99
※ 文章網址: http://www.ptt.cc/bbs/Gossiping/M.1408747367.A.71C.html