01-4. 攻擊者思維 vs 防禦者思維

⏱️ 閱讀時間： 10 分鐘 🎯 難度： ⭐ (簡單) ⚠️ 提醒： 本文內容僅供學習與防禦用途

🎯 本篇重點

理解攻擊者如何思考與行動，培養防禦者心態，學習如何從攻擊者角度審視系統弱點，建立縱深防禦策略。

🤔 為什麼要理解攻擊者思維？

孫子兵法的智慧

「知己知彼，百戰不殆」
- 孫子兵法

應用到資安：
✅ 知己（防禦者）：了解自己系統的弱點
✅ 知彼（攻擊者）：理解駭客的思維與手法
✅ 百戰不殆：才能建立有效的防禦

只做防禦，不懂攻擊 = 閉門造車

優秀開發者的必備能力

初級開發者：
└─ 功能開發完成就好

中級開發者：
├─ 功能開發
└─ 基本測試

高級開發者：
├─ 功能開發
├─ 完整測試
└─ 考慮邊界情況

資安意識的開發者：
├─ 功能開發
├─ 完整測試
├─ 邊界情況
└─ 思考「駭客會如何攻擊？」

區別在於：能否預見潛在風險

🎭 攻擊者思維（Attacker Mindset）

核心特徵

1. 永不放棄
   └─ 只要有一個漏洞，就能攻破系統

2. 創意思考
   └─ 用開發者沒想到的方式使用功能

3. 路徑最小化
   └─ 尋找最容易突破的弱點

4. 持續偵察
   └─ 收集資訊，尋找攻擊面

5. 利用信任
   └─ 利用系統對用戶輸入的信任

攻擊者的問題清單

當攻擊者看到一個功能時，他會問：

🔍 偵察階段：
├─ 這個網站用什麼技術？（Django? PHP? Node.js?）
├─ 有什麼端點？（API、管理後台）
├─ 有什麼輸入點？（表單、URL 參數、Cookie）
├─ 錯誤訊息洩漏什麼資訊？
└─ 有沒有已知漏洞？（版本過舊）

💉 測試階段：
├─ 輸入驗證夠嚴格嗎？
├─ 可以注入特殊字元嗎？(' " < > ; --)
├─ 有檔案上傳功能嗎？（能上傳 .php?）
├─ 有權限檢查嗎？（能存取其他用戶資料?）
└─ Session 管理安全嗎？

🎯 利用階段：
├─ 如何竊取最多資料？
├─ 如何獲得最高權限？
├─ 如何維持存取權？（後門）
└─ 如何清除痕跡？（刪除日誌）

實際案例：攻擊者的思考過程

案例 1：攻擊電商網站

目標：免費購買商品

攻擊者思考：
1. 正常流程：加入購物車 → 結帳 → 付款
   思考：價格在哪裡決定？

2. 測試：檢查結帳請求
   發現：POST /checkout
         {
           "product_id": 123,
           "price": 1000,      ← 客戶端控制！
           "quantity": 1
         }

3. 攻擊：修改 price 為 1
   POST /checkout
   {
     "product_id": 123,
     "price": 1,           ← 改成 $1
     "quantity": 1
   }

4. 結果：用 $1 買到 $1000 的商品！

漏洞：信任客戶端傳來的價格

案例 2：攻擊個人資料頁面

目標：存取其他用戶的資料

攻擊者思考：
1. 正常流程：登入 → 查看自己的資料
   URL: /profile?user_id=123

2. 測試：修改 user_id
   URL: /profile?user_id=124
   結果：看到其他用戶的資料！

3. 攻擊：寫腳本批量下載
   for i in range(1, 10000):
       fetch(f"/profile?user_id={i}")

4. 結果：下載所有用戶資料！

漏洞：IDOR（不安全的直接物件引用）
      沒有檢查 user_id 是否屬於當前登入用戶

案例 3：攻擊登入系統

目標：暴力破解管理員密碼

攻擊者思考：
1. 測試：嘗試登入 admin 帳號
   密碼：123456, password, admin123...

2. 觀察：沒有登入次數限制！沒有驗證碼！

3. 攻擊：使用常見密碼字典
   用腳本每秒嘗試 100 次

4. 結果：10 分鐘內破解管理員密碼

漏洞：沒有 Rate Limiting，沒有帳號鎖定

攻擊者的優勢

⏰ 時間優勢：
└─ 防禦者需要保護所有漏洞
└─ 攻擊者只需要找到一個漏洞

💰 成本優勢：
└─ 攻擊成本極低（一台電腦即可）
└─ 防禦成本高（需要全面防護）

🌍 地理優勢：
└─ 可以從任何地方發動攻擊
└─ 跨國追捕困難

🔄 創新優勢：
└─ 不斷發現新的攻擊手法
└─ Zero-day 漏洞（未知漏洞）

🛡️ 防禦者思維（Defender Mindset）

核心原則

1. 縱深防禦（Defense in Depth）
   └─ 多層防護，不依賴單一防線

2. 最小權限原則
   └─ 只給必要的權限，不多給

3. 預設拒絕
   └─ 預設拒絕所有請求，明確允許才放行

4. 零信任架構
   └─ 不信任任何輸入，全部驗證

5. 持續監控
   └─ 即時偵測異常行為

防禦者的問題清單

當開發者設計功能時，應該問：

🔐 輸入驗證：
├─ 所有輸入都有驗證嗎？
├─ 有白名單驗證嗎？（不只是黑名單）
├─ 有長度限制嗎？
├─ 有類型檢查嗎？
└─ 有編碼/轉義嗎？

🚪 存取控制：
├─ 有身份驗證嗎？
├─ 有權限檢查嗎？
├─ 用戶只能存取自己的資料嗎？
├─ 管理功能有額外保護嗎？
└─ API 有授權檢查嗎？

🔒 資料保護：
├─ 敏感資料有加密嗎？
├─ 密碼有哈希嗎？
├─ 使用 HTTPS 嗎？
├─ Cookie 有安全屬性嗎？
└─ 日誌有記錄敏感資料嗎？（不應該）

📝 日誌與監控：
├─ 重要操作有日誌嗎？
├─ 異常行為會觸發告警嗎？
├─ 日誌有定期審查嗎？
└─ 有事件響應計畫嗎？

🔄 更新與維護：
├─ 套件有定期更新嗎？
├─ 有已知漏洞嗎？
├─ 有安全掃描嗎？
└─ 有災難恢復計畫嗎？

縱深防禦（Defense in Depth）

比喻：城堡的多層防禦

第 1 層：護城河（網路邊界）
├─ 防火牆
├─ DDoS 防護
└─ WAF（Web Application Firewall）

第 2 層：城牆（應用層）
├─ 輸入驗證
├─ CSRF Token
├─ Rate Limiting
└─ CAPTCHA

第 3 層：城門（身份驗證）
├─ 密碼強度要求
├─ 多因素認證（MFA）
├─ Session 管理
└─ 帳號鎖定

第 4 層：內城（存取控制）
├─ 權限檢查
├─ RBAC（角色型存取控制）
├─ 最小權限原則
└─ 審計日誌

第 5 層：寶庫（資料保護）
├─ 加密儲存
├─ 資料庫備份
├─ 資料遮罩
└─ 敏感資料加密

第 6 層：守衛（監控與響應）
├─ 即時監控
├─ 異常偵測
├─ 自動告警
└─ 事件響應

重點：即使某一層被突破，還有其他層保護

Django 中的縱深防禦實例

# 多層防禦範例：轉帳功能

# 第 1 層：網路層（設定檔）
# settings.py
SECURE_SSL_REDIRECT = True  # 強制 HTTPS
ALLOWED_HOSTS = ['example.com']  # 只允許特定域名

# 第 2 層：Rate Limiting
from django.core.cache import cache

def rate_limit_check(request):
    key = f"transfer_{request.user.id}"
    count = cache.get(key, 0)
    if count > 10:  # 1 小時內最多 10 次
        raise TooManyRequests("轉帳次數過多")
    cache.set(key, count + 1, 3600)

# 第 3 層：身份驗證
from django.contrib.auth.decorators import login_required

@login_required  # 必須登入
def transfer_money(request):
    pass

# 第 4 層：CSRF 防護
from django.views.decorators.csrf import csrf_protect

@csrf_protect  # 防止 CSRF 攻擊
def transfer_money(request):
    pass

# 第 5 層：輸入驗證
def transfer_money(request):
    amount = request.POST.get('amount')
    to_account = request.POST.get('to_account')

    # 驗證金額
    try:
        amount = Decimal(amount)
        if amount <= 0 or amount > 1000000:
            raise ValueError("金額不合法")
    except (ValueError, InvalidOperation):
        return HttpResponseBadRequest("無效的金額")

    # 驗證帳號格式
    if not re.match(r'^\d{10,16}$', to_account):
        return HttpResponseBadRequest("無效的帳號")

# 第 6 層：存取控制
def transfer_money(request):
    from_account = request.user.account

    # 確認是操作自己的帳戶
    if from_account.balance < amount:
        return HttpResponseBadRequest("餘額不足")

# 第 7 層：資料完整性（資料庫交易）
from django.db import transaction

@transaction.atomic
def transfer_money(request):
    from_account = Account.objects.select_for_update().get(user=request.user)
    to_account = Account.objects.select_for_update().get(number=to_account)

    from_account.balance -= amount
    to_account.balance += amount

    from_account.save()
    to_account.save()

# 第 8 層：審計日誌
def transfer_money(request):
    # 記錄所有轉帳操作
    TransferLog.objects.create(
        from_user=request.user,
        to_account=to_account,
        amount=amount,
        ip_address=request.META.get('REMOTE_ADDR'),
        timestamp=timezone.now()
    )

# 第 9 層：異常監控
def transfer_money(request):
    # 大額轉帳觸發告警
    if amount > 100000:
        send_alert_to_admin(
            f"大額轉帳: {request.user} 轉帳 ${amount}"
        )

# 即使某一層被繞過，其他層仍能保護系統

⚖️ 攻擊者 vs 防禦者對比

思維差異

案例對比

場景 1：文件下載功能

# 攻擊者思維：
「URL 是 /download?file=report.pdf
如果改成 file=../../etc/passwd 會怎樣？」

→ 測試：/download?file=../../../../etc/passwd
→ 成功！讀取到系統檔案

# 防禦者思維：
「用戶可能輸入什麼惡意路徑？
我需要驗證檔案名稱，限制在特定目錄」

→ 實作：
import os
filename = os.path.basename(request.GET['file'])  # 移除路徑
if not filename.endswith('.pdf'):  # 只允許 PDF
    return HttpResponseBadRequest()

場景 2：用戶個人資料

# 攻擊者思維：
「URL 是 /profile?user_id=123
如果改成 user_id=124 會怎樣？」

→ 測試：/profile?user_id=124
→ 成功！看到別人的資料（IDOR）

# 防禦者思維：
「用戶可能嘗試存取別人的資料
我需要檢查 user_id 是否屬於當前用戶」

→ 實作：
def view_profile(request, user_id):
    if request.user.id != user_id:
        return HttpResponseForbidden()
    # 繼續處理...

場景 3：API 金鑰

# 攻擊者思維：
「錯誤訊息顯示：Database connection failed: mysql://user:pass@localhost
密碼外洩了！」

→ 利用密碼連線資料庫

# 防禦者思維：
「錯誤訊息不應該洩漏敏感資訊
生產環境要關閉 Debug 模式」

→ 實作：
# settings.py
DEBUG = False  # 生產環境

# 自訂錯誤頁面
LOGGING = {
    'handlers': {
        'file': {
            'filename': '/var/log/django/error.log',
        },
    },
}

# 錯誤訊息只記錄到檔案，不顯示給用戶

🎯 培養防禦者思維的方法

1. 主動思考「如果我是駭客」

每寫一個功能，問自己：

✅ 如果我是駭客，我會如何攻擊這個功能？
✅ 有哪些輸入點？
✅ 有哪些假設可以打破？
✅ 有哪些邊界情況沒考慮？
✅ 最壞的情況是什麼？

2. 代碼審查檢查清單

📝 每次代碼審查時檢查：

🔐 輸入驗證：
□ 所有用戶輸入都有驗證
□ 有長度限制
□ 有類型檢查
□ 特殊字元有處理

🚪 存取控制：
□ 有身份驗證
□ 有權限檢查
□ 用戶只能存取自己的資料

🔒 敏感資料：
□ 密碼有哈希
□ 敏感資料有加密
□ 使用 HTTPS
□ Cookie 有安全屬性

💉 注入攻擊：
□ SQL 查詢使用 Parameterized Query
□ HTML 輸出有轉義
□ 有 CSRF Token

📝 日誌：
□ 重要操作有記錄
□ 不記錄密碼等敏感資料

3. 實際練習攻擊（合法環境）

🎯 推薦練習平台：

1. PortSwigger Web Security Academy
   → 免費互動式學習
   → 涵蓋所有主要攻擊類型

2. OWASP WebGoat
   → 刻意設計的漏洞應用
   → 本地安裝練習

3. DVWA (Damn Vulnerable Web App)
   → Docker 一鍵部署
   → 不同難度等級

4. HackTheBox
   → 真實環境滲透測試
   → 需要基礎知識

實際攻擊這些平台，體驗駭客思維！

4. 閱讀真實漏洞報告

📚 學習資源：

1. HackerOne 公開報告
   → https://hackerone.com/hacktivity
   → 真實漏洞案例與獎金

2. CVE 資料庫
   → 已知漏洞列表
   → 了解常見漏洞模式

3. OWASP Top 10 詳細文件
   → 每年更新
   → 包含真實案例

4. Bug Bounty 寫作
   → Medium、部落格
   → 駭客的思考過程

5. 定期安全掃描

🔍 使用自動化工具：

1. Bandit（Python 代碼安全分析）
   pip install bandit
   bandit -r your_project/

2. Safety（檢查套件漏洞）
   pip install safety
   safety check

3. OWASP ZAP（Web 漏洞掃描）
   自動掃描你的網站

4. django-security（Django 專用）
   python manage.py check --deploy

定期掃描，及早發現問題！

💡 實戰案例：從攻擊到防禦

案例：電商促銷漏洞

攻擊者視角

觀察：
網站有「首次購買折扣 90%」活動

測試 1：正常購買
→ 確實有 90% 折扣
→ 第二次購買沒有折扣

測試 2：清除 Cookie 重新註冊
→ 又有 90% 折扣！

發現漏洞：
系統用 Cookie 判斷「首次購買」
只要清除 Cookie 就能無限使用折扣

利用：
1. 寫腳本自動清除 Cookie
2. 每次購買都是「首次」
3. 所有商品都是 90% off

影響：
公司損失慘重，促銷活動緊急取消

防禦者應該怎麼做

# ❌ 錯誤：用 Cookie 判斷
def apply_discount(request):
    if not request.COOKIES.get('purchased_before'):
        discount = 0.9
        response.set_cookie('purchased_before', 'true')
    # 用戶清除 Cookie 就能繞過

# ✅ 正確：用伺服器端資料判斷
def apply_discount(request):
    user = request.user

    # 檢查資料庫是否有購買紀錄
    has_purchased = Order.objects.filter(user=user).exists()

    if not has_purchased:
        discount = 0.9
    else:
        discount = 0

    return discount

# ✅ 更好：結合多重驗證
def apply_discount(request):
    user = request.user

    # 1. 檢查購買紀錄
    has_purchased = Order.objects.filter(user=user).exists()

    # 2. 檢查同一信用卡
    same_card = Order.objects.filter(
        payment_method=request.POST['card_number'][-4:]
    ).exists()

    # 3. 檢查 IP 地址
    ip_used = Order.objects.filter(
        ip_address=request.META['REMOTE_ADDR']
    ).count()

    # 任一條件滿足就不給折扣
    if has_purchased or same_card or ip_used > 3:
        discount = 0
    else:
        discount = 0.9

    return discount

🎓 面試常考題

Q1：什麼是「縱深防禦」？

A：Defense in Depth，多層防護策略

比喻：城堡的多層防禦
├─ 護城河（網路邊界）
├─ 城牆（應用層防護）
├─ 城門（身份驗證）
├─ 內城（存取控制）
├─ 寶庫（資料加密）
└─ 守衛（監控與響應）

核心思想：
即使某一層被突破，其他層仍能保護系統
不依賴單一防護措施

Django 範例：
1. HTTPS（傳輸層）
2. CSRF Token（應用層）
3. 登入驗證（身份層）
4. 權限檢查（存取層）
5. 資料加密（資料層）
6. 日誌記錄（監控層）

Q2：「最小權限原則」是什麼？

A：只給必要的權限，不多給

範例：

❌ 錯誤：
資料庫連線使用 root 帳號
→ 如果被 SQL Injection，整個資料庫都會被刪除

✅ 正確：
資料庫連線使用只有 SELECT, INSERT, UPDATE 權限的帳號
→ 即使被 SQL Injection，也無法 DROP TABLE

Django 範例：
# 普通用戶只能看自己的資料
@login_required
def view_profile(request, user_id):
    if request.user.id != user_id and not request.user.is_staff:
        return HttpResponseForbidden()

# 管理員功能額外檢查
@user_passes_test(lambda u: u.is_superuser)
def delete_all_users(request):
    # 只有超級管理員能執行
    pass

Q3：如何培養「攻擊者思維」？

A：從攻擊者角度審視系統

實踐方法：

1. 問「如果我是駭客」
   → 每個功能都思考如何攻擊

2. 實際練習攻擊
   → DVWA、WebGoat、PortSwigger

3. 閱讀漏洞報告
   → HackerOne、CVE、Bug Bounty 文章

4. 代碼審查檢查清單
   → 輸入驗證、權限檢查、敏感資料

5. 使用安全工具
   → Bandit、Safety、OWASP ZAP

重點：
不是要你成為駭客，
而是理解駭客的思維，
才能寫出更安全的代碼

✅ 重點回顧

攻擊者思維：

• 🎯 只需要找到一個漏洞
• 🔍 持續偵察，尋找攻擊面
• 💡 創意思考，用非預期方式使用功能
• ⏰ 時間充裕，可以慢慢探索
• 🌍 成本低，風險低（匿名）

防禦者思維：

• 🛡️ 需要防禦所有漏洞
• 🔐 縱深防禦（多層保護）
• 🚪 最小權限原則
• ❌ 預設拒絕
• 📝 持續監控與審計

核心原則：

• ✅ 知己知彼：理解攻擊才能有效防禦
• ✅ 縱深防禦：多層保護，不依賴單一防線
• ✅ 最小權限：只給必要權限
• ✅ 零信任：不信任任何輸入
• ✅ 持續學習：攻擊手法不斷演進

實踐建議：

• 🎯 每寫一個功能，問「如果我是駭客」
• 📝 使用代碼審查檢查清單
• 💻 在合法平台練習攻擊（DVWA、WebGoat）
• 📚 閱讀真實漏洞報告
• 🔍 定期使用安全掃描工具

記憶口訣： 「攻者找一防者護全」= 攻擊者找一個漏洞，防禦者保護全部

下一步： 基礎篇完成！接下來進入實戰篇： → 02-1. SQL Injection 基礎

上一篇： 01-3. 常見攻擊類型概覽 下一篇： 02-1. SQL Injection 基礎

最後更新：2025-01-16