111 國安局特考三等 資訊組(選試英文) 網路應用與安全 考古題詳解

核心觀念

TCP SYN Flood（SYN 洪水）是利用 TCP 三向交握中的「半開連線」消耗伺服器資源的阻斷服務攻擊。伺服器收到 SYN 後，會配置連線狀態並回覆 SYN-ACK，等待用戶端最後的 ACK；攻擊者大量送出 SYN，卻不完成交握，使伺服器的半開連線佇列逐漸耗盡，正常用戶端因而無法建立新連線。

攻擊運作方式

正常 TCP 三向交握如下：

1. 用戶端送出 SYN，提出連線要求。
2. 伺服器回覆 SYN-ACK，並等待確認。
3. 用戶端送出 ACK，交握完成，連線進入已建立狀態。

SYN Flood 的流程則是：

1. 攻擊者大量送出 SYN 封包；常見作法是偽造來源 IP 位址，或使用大量分散的來源位址。
2. 伺服器對每個 SYN 回覆 SYN-ACK，並在半開連線佇列中保留連線狀態。
3. 攻擊者不回覆最後的 ACK，或使 SYN-ACK 無法抵達真正的來源端。
4. 伺服器須等待逾時或重傳期限結束，才釋放這些連線狀態。
5. 當半開連線佇列或相關資源被占滿，合法用戶端的新連線要求便遭拒絕或延遲。

因此，攻擊重點不是完成大量 TCP 連線，而是讓伺服器持續保留大量尚未完成交握的狀態。偽造來源 IP 會增加追查與封鎖難度，但並非 SYN Flood 成立的必要條件。

解題方法

作答時依「TCP 交握機制 → 半開連線資源 → 合法服務受阻」說明因果鏈，再分別從伺服器端、網路設備與上游防護提出措施。需指出防護核心是減少尚未完成交握所占用的狀態、限制異常流量，並在流量進入受害主機前攔截攻擊。

防護建議

核心觀念

S/MIME（Secure/Multipurpose Internet Mail Extensions）是在 MIME 電子郵件格式上加入密碼學保護的標準。數位簽章主要提供：

• 完整性：郵件內容若在傳送途中遭到修改，收件者驗章時會發現不符。
• 來源鑑別：以寄件者的憑證公鑰驗證簽章，確認簽章是由對應私鑰產生。
• 不可否認性：簽章可作為寄件者曾簽署該內容的證據；實際法律效力仍須視身分驗證、私鑰保管與適用法規而定。

簽章本身不提供機密性。若郵件還要保密，須另外使用收件者的公鑰加密；S/MIME 可將簽章與加密併用。

電子郵件數位簽章流程及方法

1. 準備郵件內容 寄件者完成郵件本文與附件，將它們依 MIME 格式組成待簽署的郵件資料。驗章時必須使用與簽章時相同的資料表示方式，因此傳送過程中的格式轉換不得改變受簽署資料。

2. 計算郵件摘要 寄件者使用雙方支援的安全雜湊演算法（例如 SHA-256），對受簽署的郵件資料計算摘要： $h=H(M)$ 其中 $M$ 為受簽署內容，$H$ 為雜湊函數，$h$ 為固定長度摘要。

3. 以寄件者私鑰產生簽章 寄件者使用自己的私鑰，依簽章演算法對摘要產生數位簽章： $S=\operatorname{Sign}_{K_{\text{priv}}}(h)$ 實際簽章演算法會按其規範處理摘要及簽章編碼；重點是簽署摘要，而不是將整封郵件以私鑰加密。

4. 附上簽章與憑證資訊 S/MIME 將原始郵件內容、數位簽章及驗證所需的憑證資訊包裝成 S/MIME 訊息。常見形式包括：

• multipart/signed：郵件內容與簽章分成兩個 MIME 部分，內容可直接閱讀，簽章另附。

核心觀念

滲透測試（Penetration Testing）是經受測單位授權，在明確範圍與規則下，模擬攻擊者利用弱點取得未授權存取或造成安全影響的測試。它不等同於單純弱點掃描：弱點掃描主要列出可能的缺陷；滲透測試則進一步驗證缺陷是否可被利用、可造成何種影響，以及風險如何降低。

本題考查的是滲透測試的完整生命週期，作答時應依序交代測試前的授權與規劃、資訊蒐集、弱點分析、弱點利用、影響評估、復原及報告追蹤。測試全程須遵循合法授權、範圍限制、最小影響與證據保護原則。

解題方法：依測試生命週期說明

一、前期規劃與授權

測試開始前，測試方與受測單位應確認並記錄：

• 測試目標與範圍：例如指定網段、主機、網站、應用程式或測試帳號；明確列出不在範圍內的系統及第三方服務。
• 測試方式與限制：採黑箱、灰箱或白箱測試；是否允許社交工程、拒絕服務測試、實體測試等高影響活動。
• 執行時程與聯絡窗口：約定測試時段、緊急聯絡人及停止測試條件。
• 授權與規則：取得書面授權，訂定測試規則（Rules of Engagement），說明可使用的工具、允許的操作及禁止事項。
• 風險與資料處理：事先規劃備份、監控、回復方式，以及測試資料、憑證與證據的保存和銷毀方式。

這是整個流程的前提。未取得明確授權或超出約定範圍執行測試，可能造成法律與營運風險。

二、資訊蒐集與偵察

依授權範圍蒐集受測目標的資訊，以建立攻擊面清單。資訊來源可包括公開資料、網域與子網域、IP 位址、DNS 設定、服務版本、網路架構及應用程式功能。

資訊蒐集可分為：

• 被動蒐集：透過公開資料或既有文件了解目標，盡量不直接接觸受測系統。
• 主動蒐集：在授權範圍內與目標互動，例如確認存活主機、開放埠及服務資訊。

蒐集結果應整理成資產與入口清單，供後續辨識弱點使用。

三、弱點辨識與分析

對已確認的主機、服務及應用程式進行檢查，找出可能的弱點，例如未修補漏洞、錯誤設定、弱密碼、過度權限、輸入驗證不足或敏感資訊暴露。

可搭配自動化弱點掃描與人工檢視，但掃描器的告警須進一步確認，避免將誤報直接當成已證實的漏洞。每項弱點應記錄受影響資產、成因、利用條件及可能影響，並依風險與測試規則安排驗證順序。

核心觀念

社交工程是攻擊者利用人對權威、好奇、恐懼、互惠或便利性的信任與心理弱點，誘使被害人洩漏資訊、執行特定操作，或讓攻擊者取得系統與實體場所的存取權。它的關鍵不在於破解技術，而在於操縱人員行為；因此，防護不能只依賴防毒軟體或防火牆，還須結合身分查證、權限控管、教育訓練與通報機制。

解題方法

題目要求舉出四種攻擊手法及防護方法。作答時可從不同接觸管道分類，逐一說明「攻擊者如何誘騙」以及「使用者或組織如何阻斷」，避免只列名詞而未交代防範方式。以下列舉四種常見手法：

1. 釣魚郵件（Phishing） 攻擊者偽冒主管、銀行或公務機關，寄送含惡意連結或附件的郵件，誘使收件者輸入帳密、下載惡意程式或回覆機敏資料。 **防護方法：**檢查寄件者完整地址及連結實際網域；不開啟來源不明的附件、不在可疑頁面輸入帳密；機關應部署郵件過濾、惡意連結偵測、多因素驗證，並建立可疑郵件通報流程。

2. 電話或簡訊誘騙（Vishing／Smishing） 攻擊者透過電話或簡訊冒充客服、主管或政府機關，以帳戶異常、緊急命令等理由，要求提供驗證碼、密碼或立即轉帳。 **防護方法：**不依來電或訊息提供密碼、一次性驗證碼及機敏資料；掛斷後透過官方名錄或既有聯絡方式回撥查證；涉及付款、權限變更或資料提供時，採用雙人覆核及獨立確認程序。

核心觀念

**Buffer Overflow（緩衝區溢位）**是程式將資料寫入緩衝區時，未正確檢查資料長度，導致寫入範圍超出緩衝區容量，並覆寫相鄰記憶體內容的程式安全漏洞。

緩衝區通常用來暫存輸入資料。若緩衝區容量為 $n$ 位元組，程式卻將超過 $n$ 位元組的資料寫入其中，超出部分便可能覆蓋其他變數、函式指標或函式呼叫的返回位址。攻擊者利用被覆寫的內容，可能使程式異常終止、改變程式執行流程，或執行未經授權的操作。

常見類型包括：

• Stack-based Buffer Overflow（堆疊型緩衝區溢位）：溢位發生在堆疊上的區域變數，可能影響保存的返回位址或其他控制資料。
• Heap-based Buffer Overflow（堆積型緩衝區溢位）：溢位發生在堆積配置的記憶體，可能破壞相鄰物件或管理資料結構。

解題方法與攻擊手法

作答時可依序說明「漏洞成因、記憶體覆寫結果、攻擊者如何利用、可能造成的影響」，即可完整交代漏洞與攻擊方式。

以堆疊型溢位為例，函式執行時，區域變數與返回位址等資料會放在堆疊上。若程式把過長輸入寫入固定長度陣列，輸入資料就可能越界，覆寫相鄰資料。攻擊者常見的利用步驟如下：

1. 送入超過緩衝區容量的資料：利用程式未檢查輸入長度，讓資料超出預定空間。
2. 覆寫相鄰記憶體：溢位資料可能破壞其他變數、函式指標或控制流程資料。