主要是 HITCON 第一次心得，混雜一些 2013 參加 CON CON CON 的日子，JSDC PYCON HITCON
什麼駭客的阿什麼都不懂，還是乖乖聽聽星海羅盤就好了～耶，又要胡說八道了～
駭客年會？
其實我也沒碰過什麼資訊安全的東西，勉強只能說是網頁相關的有一點概念吧，但最近真的想要多參與一些活動，觀察一下在工作的人都在幹麼…自己想成為什麼樣的人，所以觀察不同領域的各種人有哪些是我真的想效仿，未來想變成那樣的。其實在不同技術研討會都有各式各樣不同的人，雖一個組織間的人有些特徵，但我想要成就的事好像不是單純存在某技術領域，反而是技術人裡面鮮有的一種脫俗的氣質…
WAR
由於沒筆電，回家才玩一下 wargame 動腦筋加上一點獎金的誘惑，讓我燃燒一點熱情的小宇宙，耗盡停機已久的腦袋，勉強解出兩題網頁安全的就夜深+整個大腦都快熱當了，只是感覺有些真的覺得好像可以，但是就是沒辦法，讓我對安全相關的攻擊思維產生一些興趣，想要瞭解一些不同的攻擊手法流程之類的，多增加一點安全（黑嘿嘿）知識。
解了WEB 100 跟 500 兩題，剛好都是我最熟的語言，100 的那題 JS 感覺好像有目的的希望引導參賽者做某件事，但我看過那個混淆 LIB 的介紹，就直接貼上 console 執行就解了..
其他都試不出來，結果 500 的有找到第一個步驟，所以就專注解這題，有想到解的方向，但就踹很久。反正第一步就是要讓 PHP 出錯，丟他原本不吃的型態（陣列）給他，以前好像有看過這種攻擊的介紹，以前自己也蠻常透過這個方法來傳參數。第二步，直覺是要跳過 unserialize 格式的檢查，一直想說格式是能有什麼變化，一變 unserialize 就解不出東西阿，差一個空白都不行，就想說是 php 這版本的 serialize 有什麼 bug 能利用嗎，也是沒找到。一開始就被引誘，是不是不能傳 object，搞半天好像只是個幌子，http://evertpot.com/133/ 最後查 serialize format 關鍵字查靈機一動解出這題。
今天早上去的時候思考了一下昨天解題的思維，真的阿～寫程式的時候根本要把功能寫出來就煩死了，會動就保佑囉，哪還會去想到底有什麼一大堆安全問題一一檢查，而駭客思維完全是顛倒，就是要耗盡心思用各種不同的方法踹看似正常的程式，想辦法抽絲剝繭在一面大牆中找出隙縫發現問題並以此為樂，但的確解出的瞬間是有種爽感阿。可能會上癮喔
所以想到員外那場引用的一句話，把系統設計的很簡單所以沒有問題，或者設計的複雜到看不出問題。
Agenda
兩天早上聽完，下午就都去算命攤聽故事啦，聽到好多駭客講自己的成長喔，蠻激勵人心的。因為很多領域都不懂，所以其實只是想要聽一些基本的駭客流程方法，跟攻擊的思考過程，加上算命攤的安排，的確是有聽到蠻多想聽的一些事，尤其每個人的故事都很有啟發阿。很多真的都是在我小時候還在 dos 玩遊戲時同時發生在台灣的駭客故事。
Tim、newbug、CIH、Birdman、Allen own…
專注、毅力、熱情在某件事上，自然會有一些不同與他人的收穫。
有一些亂七八糟的散亂筆記..有點懶得整理..
- 大陸的漏洞通報平台 http://www.wooyun.org/，台灣到現在好像都還沒有這種系統？好像是文化還不接受？
- 這幾天大家都在討論這幾天 Struts 的新漏洞 CVE-2013-2251 搜尋一下就知道資安領域 需要多麼即時的吸收新知..
- http://www.backtrack-linux.org/ 駭客專用的 Linux
- 綿羊牆：會場的網路會監控所有未加密登入的資訊，貼到 IRC 上，並投影到會議廳螢幕上…可以想像看到很多綿羊在跳。
- Marfada 我的成長
- Heap Feng Shui in JavaScript
CON
這活動辦的規模好大喔～感覺比之前參加的都還多人，設計跟規劃也最完整(最貴..)，又有一大堆超厲害的各國講師（其實我都沒聽..），最驚訝的是竟然還有現場口譯～（跟好多正妹？）。貴一點的票不曉得是換來吃比較好的便當點心跟冰淇淋嗎@@?!
最後謝幕一堆工作人員上台時，都讓我有點想思考一下辦一個活動，到底是如何分工與運作的，真的是耗費很多心思阿，辛苦大家了。
最後紀錄一下觀察今年參加這幾場研討會的差異…
JSDC 參與者由前端加後端混和而成，感覺是年輕多元的工程師包涵一些設計師～
PYCON 充滿工程師氣味，混雜一些無法一眼分出性別的人～XD
HITCON 真的就是對電腦技術很有熱情的一群人，從電腦技術開始發展以後的年代的人都會參加，藏有許多上個世代的神人，年齡層廣，最怪的是正妹特別多（無法理解），大部分好像都是工作人員。