其实也没什么好讲的
就是认知上的差异罢了
像一般的电影演的那种
鼠标按几下、CLI打两三行
马上破解成功入侵成功的印象
深植一般人的脑海中
所以一般人如果看到
有一个人会用最基本的sql或xml Injection
或者某某网站下载来的script
成功取得某个写得很烂的网站的管理权限之类的
就会觉得“哇靠这个人也太神了吧！”、“神手骇客耶”
但是只要稍微懂资安的人
脑海中浮现“喔，所以？”、“又一个script kid”、“阿不就好棒棒”
一个烂网站有两种最常见的漏洞：不会隐藏、不会验证
像这次的统联就是属于不会验证
很多网站则是在使用者登入时某些地方不会验证
导致随便一行指令注入就可以取得根权限
不会隐藏的部分
最常见密码或选项明码存取
你传送了啥输入了啥看得清清楚楚
三年前有个政府机关的网站存了数十万笔的基本资料
虽然经由80port无法存取
但是一个csv档赤裸裸的放著
连权限都没锁
透过21port随便扫就看到
这种案例层出不穷
因为一般人完全没有半点资安概念
还有很多网站帐密都是root或是admin的
或者ip cam裸奔的
估狗个工具随便扫都可以看到某某人在洗澡、换衣服、做爱
在完全没资安概念的人脑中
神手骇客是边拿着咖啡
边手指动动鼠标按按就可以攻下一个网站的
但只要稍微有一点点点点的观念
就会知道通常都是萤幕上有几万行的code
伴随各种零食饮料散落在电脑桌旁边
各种晚上不睡觉在射code的
总结就是认知与观念上的落差罢了
像这种script kid屁孩就是很爱宣传
所以懂的人不屑、懒的理
不懂的人景仰，说应该要去美国加入CIA、FBI或NSA
就算能追到隔着vpn+tor的真实ip的人都不一定会收咧
为什么要收一个用浏览器改字的人阿...？
两方观念上的落差导致
A认为B酸葡萄，B认为A是白痴
两方的对话都不会有什么结果
GG