Summer Conf. に行きましょう! PART 1

AIS3 新型態資安食物實務課程 (7/27 - 8/2) @NTUST

通過 AIS3 Pre-exam 前180名者才能參加的資安課程,印象中最後錄取186名(?) 換句話說就算非資安背景的同學也有一定的實力,課程共七天形式採五天上課、兩天專題報告,而今年的分組類別有 關鍵基礎設施國家安全數位鑑識網頁安全軟體安全開發,所以分組的題目會和最後專題議題有關,而且要在上課的五天課餘時間生出來,也因為事前打聽到會弄到半夜,所以我台北人還特地申請台科大宿舍(FREE) = w =

然後… 可以從官方的安排感受到 關鍵基礎設施 & 國家安全 投注特別多的心力 XD

當時在pre-exam的聊天室聽到關鍵基礎設施課程會教內網滲透覺得很有趣,所以我填志願放在第一順位,結果課程主要是以工控系統(ICS)為主的資安議題,伊朗核電廠病毒 Stuxnet2018 台積電產線中毒事件 常常被拿出來鞭(X) 警惕(O),焦點多圍繞在Modbus 工業領域通訊協定OPC UA 自動化技術的傳輸協定、SCADA系統,導致要想專題題目時挺頭疼的,畢竟真要做起來規模都不小(或是用模擬的方式),這裡也感謝組員用力 CARRY,臨時生出針對 Operator 和 PLC 之間的明文傳送用 訊息識別碼(MAC) 上簽章防 中間人攻擊(MITM),也讓我幾乎在旁邊當廢人 QwQ

其他比較有趣的課像是數位鑑識陳仲寬主講的「Chimera APT攻擊調查:案例及調查手法分享」,印象中為了讓我們聽懂前面補很多Domain knowledge,結果最後重點反而講得很匆忙稍嫌可惜,不過內容有趣到stavhaygn一度想跳槽到數位鑑識組XD Lab方面教moloch分析.pcap封包,看來以後除了Wireshark又多了一套工具…如果我還記得怎麼用的話。 再來軟體開發安全Ysc主講的「開發安全與資安測試」,重點放在自動化自動化 還有自動化(正色),真的是講師開頭結尾都在強調的東西XDDD 這門重點放在DevOps的CI/CD(即自動化整合及部署),並加入資安各種自動化檢查測試,形成DevSecOps讓整個流程能夠更完善,這也讓我發現身邊有很多常用工具有這方面的應用,包括GitHub、GitLab、Docker、Jenkins、Docker,真的算是開了眼界,也可能是我自己太少接觸哭哭。 另外鄭欣明帶來的實作4G偽基地站提取手機IMSI也蠻有趣,只是我們自己用手機找不到IMSI沒辦法驗證(只能挖到IMEI)有點好笑,最後做完我還幫官方電腦裝ASCII水族箱 嘻嘻 ヽ(✿゚▽゚)ノ

所以我說那個內網滲透呢?嗯、他被放在網頁安全楊鈞皓主講的「紅人演練」,是個很精實的AD域滲透實作,包含一些提權及橫向滲透,跟我之前的網路安全專題有87%像,只是滲透等級又更高了許多,甚至到有點跟不上的程度 XD 最後國家安全唔嗯… 只能說很尷尬,大方向都是都是對網路言論或是資訊進行分析,感覺和這方面有關的台下都… Zzzz 都在念舊上午的紅人演練,看來大家都比較喜歡偏實務演練的課 = w =

結果在無聊之餘在報復性聊天室還出現很多CSS攻擊XDDDD
最後群組就出現這張圖…. 笑死 CSY明明沒參加還是會被信徒拿出來喊

噢對 Day 1 & 2 晚上都由額外的活動,所以晚餐是由奧義智慧贊助…嗯?你問我他們不是賣冰淇淋的嗎 XD 不僅如此,他們還有出過桌遊呢 🤣

課程共筆的部分可以參考 https://hackmd.io/@AIS3-2020/AIS3/ ,也可以去朝聖一下報復性聊天室,只是現在回去看已經沒那麼精采,當時真的是有些高頻率閃動是看了眼睛會痛 wwwww

大概就是這樣,最後兩天的專題感覺很微妙。還沒報告的組別忙著報告,報告完的多半也無心繼續聽(?)
聽說是從去年改成專題形式,應該大家都比較想玩Final CTF。
不過值得一提是網路安全組的釣魚實驗,我… 我真的有被騙到wwwww
雖然我是第一個在官方群組反應的,對話還因此被節錄放在他們的報告上(抹臉

簡言之就是

官方網站 釣魚網站
Website ais3.org ais3.tw
IG ais3tw ais3org

他們巧妙的把官方的命名不統一對調,結果就不小心上鉤了 嗚嗚
看來我身為資安人的資安意識還差得遠呢 ……
但也因此有機會認識到游桑和Tina兩位大大 www

COSCUP 開源人年會 (8/1 - 8/2) @NTUST

有沒有覺得COSCUP的時間有點眼熟 … 嗯沒錯,剛好就是AIS3的最後兩天專題報告
而且還同樣都在台科大(大概走路 5 分鐘可到) XD
所以當我關鍵基礎設施在專題報告 Day 1 上午報完,就開始規劃想聽的議程(下午是國家安全專題),然後偷溜出去(抹臉

攤位的部分,因為stavhaygn在前幾天在MOPCON的粉絲頁tag我開玩笑地想拿貼紙,結果我翹課過去馬上就被官方認出來,還破例讓我多拿幾張,笑死www 到現在還是不太敢貼在筆電上>///<

除了到處晃晃拿貼紙,我還在官方攤買了酒杯和線材包,被同行友人笑每次翹課都會有收穫(幹w

議程部分都大概平均都半小時,Day 1主要都在逛攤、Day 2 由於很想聽網路安全的釣魚專題 還有stavhaygn的專題,所以偷溜出去的頻率少了一些,印象中聽的議程有GCPSDN x CloudGolangVault 私鑰管理,還有個Open Source 推廣分享是去朝聖常常在FB和小馬拌嘴的蝦蝦姊(笑) 。我在開源界的時間不算長,平常也只是偶爾摳來用,所以跑的主題幾乎都是聽過但沒機會摸,算是去增廣見聞,另外、還有認親 XDDDD

噢對了,另外我還拿到了神奇序號,主要是右邊的.tw免費註冊域名,只是想Domain name是個令人頭疼的事QQ 另外左邊的.GAY工商真的頗炫wwww