滲透式資訊安全測試結果報告範例 筆者公司因為處於資訊安全領域的頂尖地位，因此相關的軟體與測試對於資訊安全測試會特別注重。 除了內部有一定的資訊安全測試流程與評審外，在特定專案也會與知名的資訊安全顧問公司合作，針對整個專業的資訊安全進行測試與評估。 這樣的資訊安全測試最後的測試報告產出為何? 與一般軟體測試報告有什麼不同? 資訊安全測試報告應該要包含哪些要素? 這篇文章會以一個範例討論這些議題。 業界範例 這個組織 PTES (Penetration Testing Execution Standards) 主要將資訊安全測試分為七大步驟，其中測試報告結果建議範本如下： http://www.pentest-standard.org/index.php/Reporting http://www.vulnerabilityassessment.co.uk/report%20template.html 執行的七大步驟分別為: Pre-engagement…
駭客密碼攻擊的方法與工具
駭客密碼攻擊的方法與工具 這篇文章主要說明兩種密碼攻擊的方法與相關的工具介紹。 一種是線上直接針對系統密碼作登入的嘗試， 另外一種是取得密碼檔案，針對密碼檔案的Hash值做分析。 透過這些工具也可以了解目前系統的密碼強度為何? 系統是否會在五分鐘內被破解所有的密碼? (最後提醒，這樣的工具使用在未經授權的系統是非法的。) 密碼攻擊的方法 密碼攻擊的方法原則上分為兩大類。 離線分析: 這種方式指的是取得密碼檔案分析。因為密碼檔案內容通常是加密或是有 Hash，因此分析的方向主要是破解 Hash 值。優點是可以避免線上系統的一些防護措施。 這類的工具包含： Hashcat RainbowCrack Samdump2 John…
Top 10 駭客攻擊與資訊安全測試免費工具
Top 10 駭客攻擊與資訊安全測試免費工具 這篇文章主要介紹十大駭客工具。這些工具共同的特徵，免費、容易取得、容易執行。 進行資訊安全測試時，資訊安全專業人員會採用商用的軟體測試，例如，IBM AppScan， 一來比較有業界第三方的公信力，二來這類的商用的工具比較容易上手。 另外一方面，駭客由於技術比較高超，所以筆者相信他們多半是用這些小工具或是 scripts。 而非 IBM AppScan 這樣的工具。對駭客來說，這樣商用的工具昂貴，而且整個軟體安裝龐大。 筆者介紹十個常見的駭客攻擊工具。(提醒這些工具使用在未經授權的系統都是非法的!) 這些工具是最好用嗎? No. 只是比較知名。只要可以達到測試結果其實儘管是簡單的指令都是”好用”的。 1. WiFi…