其實也沒甚麼好講的
就是認知上的差異罷了
像一般的電影演的那種
滑鼠按幾下、CLI打兩三行
馬上破解成功入侵成功的印象
深植一般人的腦海中
所以一般人如果看到
有一個人會用最基本的sql或xml Injection
或者某某網站下載來的script
成功取得某個寫得很爛的網站的管理權限之類的
就會覺得「哇靠這個人也太神了吧！」、「神手駭客耶」
但是只要稍微懂資安的人
腦海中浮現「喔，所以？」、「又一個script kid」、「阿不就好棒棒」
一個爛網站有兩種最常見的漏洞：不會隱藏、不會驗證
像這次的統聯就是屬於不會驗證
很多網站則是在使用者登入時某些地方不會驗證
導致隨便一行指令注入就可以取得根權限
不會隱藏的部分
最常見密碼或選項明碼存取
你傳送了啥輸入了啥看得清清楚楚
三年前有個政府機關的網站存了數十萬筆的基本資料
雖然經由80port無法存取
但是一個csv檔赤裸裸的放著
連權限都沒鎖
透過21port隨便掃就看到
這種案例層出不窮
因為一般人完全沒有半點資安概念
還有很多網站帳密都是root或是admin的
或者ip cam裸奔的
估狗個工具隨便掃都可以看到某某人在洗澡、換衣服、做愛
在完全沒資安概念的人腦中
神手駭客是邊拿著咖啡
邊手指動動滑鼠按按就可以攻下一個網站的
但只要稍微有一點點點點的觀念
就會知道通常都是螢幕上有幾萬行的code
伴隨各種零食飲料散落在電腦桌旁邊
各種晚上不睡覺在射code的
總結就是認知與觀念上的落差罷了
像這種script kid屁孩就是很愛宣傳
所以懂的人不屑、懶的理
不懂的人景仰，說應該要去美國加入CIA、FBI或NSA
就算能追到隔著vpn+tor的真實ip的人都不一定會收咧
為什麼要收一個用瀏覽器改字的人阿...？
兩方觀念上的落差導致
A認為B酸葡萄，B認為A是白癡
兩方的對話都不會有甚麼結果
GG