自動化滲透測試借助各種工具和軟件來模擬對公司系統進行網路攻擊，並評估網絡的安全性。這些工具能自動執行諸如漏洞掃描、漏洞特徵識別、源碼審計等多種功能，從而迅速識別系統中的安全隱患。 想睇更多專家見解？立即免費訂閱！ 然而，自動化滲透測試也存在某些局限性。首先，自動化工具的精確度可能遜於手動測試，特別是在應對複雜的安全漏洞。其次，自動化測試可能缺乏手動測試的靈活性，難以根據特定場景或需求進行定制化測試。此外，自動化工具可能會產生大量誤報，需要安全人員進一步分析和驗證。 儘管自動化滲透測試在快速評估系統安全性方面具有一定優勢，但在面對複雜的企業環境和深度安全測試需求時，仍需依賴手動滲透測試對目標網絡進行深入分析，揭示複雜的業務邏輯漏洞、邏輯缺陷或其他安全性漏洞。當然，手動測試所需要花費的時間、資源和專業知識，會使其成本比自動化分析高。而在實際應用中，可以將自動化滲透測試和手動滲透測試相結合，相互補充，以提供更全面、準確的安全評估結果。 因此，學習手動滲透測試技術至關重要。它能深入剖析複雜系統漏洞，並根據特定商業邏輯進行獨立分析，更全面地瞭解系統安全架構，識別並修復潛在風險，為企業築牢安全防線。同時，這也是提升個人技能水準和職場競爭力的關鍵途徑。掌握網絡安全技能，將有助於在資訊安全領域取得更好的職業發展。 持續進修是資訊安全領域中不可或缺的一部分。欲想學習更多有關尋找網站伺服器漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。 作者：Kinsey NG香港資訊科技學院（HKIIT）網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景，提供校內與企業網絡安全培訓。 唔想成為下一個騙案受害人？ 網絡安全公司 Green Radar 聯同 wepro180 最新推出《網安 2 分鐘》，一系列影片助你自學網絡安全招數，遠離詐騙，安全意識輕鬆 Level Up！立即去片：https://www.wepro180.com/cybersafety/

SEO，全稱搜索引擎優化（Search Engine Optimization），是一種通過優化網站的結構和內容，提高網站在搜索引擎中的排名，進而提升網站流量的有效方式。搜索引擎使用複雜的演算法來確定網頁的排名，其中一個重要的因素是反向連結（Backlink），也就是其他網站指向您網站的連結。搜索引擎認為，如果眾多高權威的網站（如政府、大型機構網站）連結到您的網站，那麼您的網站可能提供有價值的內容，因此應該在搜索結果中獲得較高的排名。 想睇更多專家見解？立即免費訂閱！ 然而，有些網站經營者為了追求短期的排名提升，不惜採用黑帽 SEO 的手法。黑帽 SEO 利用搜索引擎的排名原理，通過增加指向特定網頁的反向連結數量來誤導搜索引擎，試圖製造出一種該網頁內容具有高度重要性和權威性的假像。其中，黑帽連結便是一種重要的黑帽 SEO 手段。 而入侵網站是常見的手段去建立黑帽連結。黑客會從高排名的網站中尋找安全性漏洞，通過這些漏洞入侵網站，並在其中植入指向目標網站的連結，從而短期內帶來網站排名的顯著提升。這種做法不僅違反了搜索引擎的規則，而且會對被入侵網站的聲譽和用戶體驗造成嚴重影響。 為確保網站的安全和正常運行，網站經營者需要定期進行網站文件和代碼的檢查。在檢查過程中，要特別留意網站伺服器是否有未知的文件或代碼片段存在，這些很可能是網站被入侵留下的痕跡。此外，手動檢查每個頁面，尤其是那些具有高流量的頁面。通過仔細檢查，我們可以發現並清除任何隱藏的連結或不尋常的內容，從而確保網站的清潔和安全。 同時，學習尋找網站漏洞並及時發現與修補可能存在的安全問題也十分重要，以避免因網站存在漏洞而被人利用。欲想學習更多有關尋找網站漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。 作者：Kinsey NG香港資訊科技學院（HKIIT）網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景，提供校內與企業網絡安全培訓。 唔想成為下一個騙案受害人？ 網絡安全公司Green Radar聯同…

去年被美國政府拘捕的前 Amazon 安全工程師 Shakeeb Ahmed，曾於成功透過操控智能合約的漏洞，從兩個加密貨幣交易所盜取 1,200 萬美元。上星期正式被判處三年監禁，同時沒收所有詐騙得來的金錢，成為首宗因濫用智能合約被定罪的個案。 隨著區塊鏈科技興起，去中心化金融（DeFi）成為一種新興的金融技術，這種技術可以擺脫傳統金融機構對貨幣、金融產品的監管，而且交易的透明度高，交易速度亦較傳統銀行快，所以發展潛力極大。 想知最新科技新聞？立即免費訂閱！ 由於相關的交易不受監管，借貸亦不需要有資產抵押或當事人背景審查，所以容易發生騙案，而智能合約（smart contract）便是用於減低詐騙風險的手段之一，以貸款為例，一旦借款人無法履行合約內容，例如支付利息或還款，智能合約可自動取消之前的交易，某程度上可保障貸款人的安全。 不過，由於智能合約都是新興技術，所以並非所有人都能完全熟悉其操作，並察覺到是否有漏洞存在，因而讓黑客有機可乘。過往便有不少針對智能合約發動的攻擊，當中閃電貸（flash loan）攻擊就是熱門手段，Shakeeb 犯下的其中一宗個案，便透過濫用 Nirvana Finance 加密貨幣交易所的智能合約漏洞賺錢。 該智能合約的設計原理是，當平台發現 ANA 的購買量增加時，價格便會提升，但…

黑客利用技術手段在不同的攻擊事件中賺取豐厚回報。然而，若擁有技術而又想要合法且正當地獲取收入，其實可以通過正規途經，例如參加漏洞獎勵計畫（Bug Bounty Programs）。利用自己的專長幫助企業強化其網絡安全防護，不僅為網絡安全做出貢獻，還能夠獲得不錯的回報。 漏洞獎勵計畫，是由漏洞回報平台邀請廠商提交自己的產品作測試，並邀請安全研究人員找出並報告參與計劃公司的軟件、網站或應用程式中的安全漏洞。安全研究人員可以選擇如 HackerOne、Bugcrowd 或香港本土的初創公司 Cyberbay 等漏洞回報平台與廠商提交漏洞並進行溝通。一般而言，參與者將獲得金錢獎勵、公開表揚或廠商提供的紀念品。 想睇更多專家見解？立即免費訂閱！ 在 HackerOne 的新聞稿中，提到六名安全研究人員憑藉發現並報告安全漏洞，成功在平台上賺取超過百萬美元的獎金。而像 Google、Mircosoft 和 Apple 的科技巨頭，對嚴重漏洞的單個賞金獎勵高達 150 萬美元，其中 Google 就透過其漏洞獎勵計畫（VRP），向全球安全研究人員支付了近…

美國國土安全部 (The Department of Homeland Security) 去年啟動 Hack DHS 賞金獵人計劃，以賞金邀請有能之士找到系統的安全盲點。計劃執行近半年，DHS 方面公布已堵塞 122 個安全漏洞，當中有 27 個屬極危險級別，而整體只發放了 12.5 萬美元獎金，可見這類賞金獵人計劃的性價比極高。 針對他國發動網絡攻擊，藉此窒礙敵國的經濟發展或刺探政治軍事機密，有時比起派間諜執行更有效率。作為全球最大影響力的美國政府，單在去年已多次指控俄羅斯政府放任黑客集團攻擊，對美國市民造成能源短缺、大量企業受到勒索軟件攻擊等後果。而為了加強國家網絡安全防禦力，美國聯邦政府曾發出行政指令，要求各政府機關盡快堵塞系統漏洞，並發出指引要求各部門執行。 不過，要找出系統漏洞，單靠部門內的專家未必可行，最有效率的方法是邀請外人調查，過程才能做到不偏不倚，探查能力甚至會更大。有見及此，美國國土安全部便於 2019…

上兩期都是環繞着「白帽黑客」（White Hat）這個題目，心想如果在港可以舉辦一個較大型的黑客 CTF 大賽，讓多一點本地及鄰近地區的「白帽黑客」能夠參賽及交流，那倒是一個不錯的做法。 發現樂趣，創造奇蹟 過去十年，黑客的意義有所改變，但是精神是一樣的。黑客們的共通點，是想知道和理解事物如何運作，在深層次研究後，他們可以創造超乎想像的奇蹟，並在其中發現樂趣。然而黑客並沒有想像中的恐怖，如果黑客發現某軟件存在漏洞並報告給相關企業，那麼企業對其進行快速修補，便會避免此漏洞帶來的危害。 「我們的」黑客大賽，培育本地人才 DEFCON 是國際知名的黑客 CTF 大賽，被譽為黑客界的「奧斯卡」，堪稱是殿堂級的安全盛會，黑客和安全專家都會慕名從世界各地趕來參加，去年參加人數更超過兩萬。我們也決定試一試，暫定於今年 10 月，在港舉行由我們公司主辦的首屆黑客大賽，希望培養業界人士對發掘網絡安全漏洞的興趣，從而提升本地的網絡安全水平。 高手相助，同場切磋 舉辦黑客大賽，我們還缺乏經驗。所以近月我也忙於跟參與過黑客 CTF 大賽的高手們請教。一提到舉辦黑客大賽這個構思，一班高手們非常樂意出手相助，運用他們過往的參賽經驗，為我們籌備一個高水平的大賽。初步構思是先舉辦初賽，給本地參賽者在線上比併。在初賽勝出的前三名會進入精英賽，再與鄰近區域的高手一起在現場一較高下。 美國取經，10 月見 雖然有高手幫忙籌劃，我亦不敢怠慢，並計劃在…

上一期講過甚麼是「白帽黑客」（White Hat），是指在完全合法的情況下對系統進行攻擊，以求找出安全漏洞，令對方作出修補的黑客。我上個月剛與一位國寶級的白帽黑客見過面，並對網絡安全作深入交流。 這位高手是來自北京的陳宇森，現年只是 26 歲，臉上還有一點稚氣，但跟他溝通，卻感覺到他是非常成熟和有目標的。他除了近年在中國區的各類黑客大賽勇奪各項大獎之外，在 2016 年的全球 DEFCON CTF 黑客大賽獲得第二名，以及在 2017 年另一個全球大型黑客大賽 Pwn2Own，獲得世界第三名。年紀輕輕已在國際大賽打響名堂，實在殊不簡單。但他跟我說：往後應不會再參與同類型的比賽了。畢竟已獲過獎項，可以說是得到業界對他技術能力的肯定。 最令我欣賞的是這位年輕白帽黑客，在 2014 年已成立了安全技術公司，運用自身的專長，開發了一些高端安全產品，來應付日益複雜的黑客攻擊，並獲得一些在中國的大企業所採用。所謂「知己知彼、百戰百勝」，以黑客的思維制訂安全方案去對付黑客攻擊，從邏輯來說，應會更有效。 除了安全產品外，陳宇森也有一套獨特的技術人員培訓計劃，可以說是比較實戰型。點解？一般網絡安全培訓機構都比較學術性，市場上的安全證書如 CISSP、CISM 等，也比較着重理論。但陳宇森所提供的是一套「網絡攻防實訓平台」，內裡包括模擬訓練、線上比賽、線下實訓等。在快速多變的網絡安全領域裏，我個人也認同實戰比證書更重要，也正考慮如何把這套實戰平台引入，來提升本地網絡安全人才應對網絡攻擊的能力。

講到「黑客」這個名詞，一般都畀人感覺唔係咁正面，並會聯想到「網絡攻擊」、「網絡詐騙」、「資料盜竊」等負面行為。 其實黑客也大致分為三類，分別為「白帽黑客」（White Hat）、「灰帽黑客」（Grey Hat）及「黑帽黑客」（Black Hat）。白帽黑客以「改善」為目標，破解某個程序，令對方作出安全漏洞修補；灰帽黑客以「展現」為目標，透過破解、入侵去炫耀其擁有高超的技術，或者宣揚某種理念；黑帽黑客以「利慾」為目標，透過破解、入侵去獲取不法利益，或者發洩負面情緒。 白帽黑客是在這十年最熱門的職業之一，但不要以為是一件容易的工作，你必須對電腦系統、編寫程式、操作系統、網絡等有深刻的認識。白帽黑客大多是電腦保安公司的僱員，並在完全合法的情況下攻擊系統，以求找出安全漏洞。另外，也有很多大企業會聘請白帽黑客來保護其系統和訊息，薪酬也非常可觀呢。 至於電腦廠商方面，為鼓勵找出安全漏洞，也會付出豐厚獎金（Bounty Program）給予找出安全漏洞的舉報者。這個做法推至近年火熱的 ICO 市場，以進一步加強系統安全性。對白帽黑客來講，又多了一個收入來源。 再且，近年在網絡安全市場也興起黑客 Pwn 或 CTF 比賽，獎金也愈來愈吸引，勝出者亦可名利雙收。Pwn 一般讀作 Pone，自從「own」這個字引申出來的，意思是玩家在整個對戰中處在勝利的優勢，主要用於嘲笑競爭對手在整個遊戲對戰中已經完全被擊敗（例如：You just got pwned！）。CTF…