鐵人檔案
本專題以 DVWA（Damn Vulnerable Web App）為實驗平台，並使用 Kali Linux 與常用測試工具（Burp Suite、sqlmap、x64dbg 等）模擬與驗證多種 Web 漏洞攻擊：SQL Injection、反射/儲存型 XSS、CSRF、檔案上傳漏洞、Command Injection、Brute Force 等。每日紀錄包含攻擊步驟、截圖、利用原理與對應防禦措施（如參數化查詢、輸入驗證、WAF/ModSecurity 設定、IDS/Suricata 觀測），並以最終報告彙整攻防比較與學習心得。
專業理論深解： 編碼 (Encoding)： 這是一個可逆的數據表示法轉換過程，其目的不是保密，而是為了符合特定傳輸協定或數據格式的規範。 URL Encodi...
OWASP Top 10 並非一個詳盡無遺的漏洞清單，而是一個基於廣泛數據和社群共識的「風險意識文件」。它評估風險的維度通常包括：漏洞的普遍性、可檢測性、技術衝...
專業理論： 根本原因－控制平面與數據平面的混淆： 所有注入漏洞的本質，都是因為應用程式將來自數據平面（不受信任的用戶輸入）的數據，錯誤地解析為控制平面（程式碼、...
攻擊流程的本質： 攻擊者將惡意腳本注入到 Web 應用中，該腳本在受害者的瀏覽器上下文中執行，從而繞過了同源政策。XSS 的核心是「瀏覽器信任了來自伺服器的內容...
身份認證生命週期 (Authentication Lifecycle)： 我需要從一個完整的生命週期視角來審視身份認證，它包括：用戶註冊、憑證（密碼）管理、登入...
專業理論深解： 攻擊面的擴展： 此類風險將我的視角從應用程式原始碼本身，擴展到其運行的整個技術堆疊，包括：Web 伺服器、應用伺服器、資料庫、框架、相依函式庫、...
專業理論深解： SSRF (Server-Side Request Forgery)： 漏洞本質： 攻擊者利用一個存在漏洞的 Web 應用，作為代理來發起對其他...
專業理論深解： 基本原則－預設拒絕 (Deny-by-Default)： 存取控制的核心設計原則是，除非被明確授予權限，否則所有請求都應被拒絕。檢查必須在伺服器...
專業理論深解： 密碼學失效 (Cryptographic Failures)： 傳輸層安全： 不僅要使用 HTTPS，還要確保 TLS 的配置是安全的。包括：禁...
今天是這趟理論之旅的終點，我需要將這 30 天的知識，沉澱為我自己的核心思維模型，並規劃出當我回到鍵盤前，清晰的行動路線圖。 這段時間的學習核心，是從一個開發者...
