🍽️ 本活動供餐

📍 活動地點：杏春樓 跨領域 B1 e8

敬請先安裝：Download Burp Suite Community Edition - PortSwigger

活動介紹：

每天登入系統、查資料、填表單，你想過網站在處理我們輸入的資料時，背後發生什麼嗎？

很多看起來像「駭客」的事件，其實只是系統在處理資料、顯示內容或流程細節問題。有時一個設計疏忽，就可能產生Web漏洞，讓系統出現意料之外的結果。

這次系列工作坊會從幾個常見的Web漏洞出發，用簡單的例子與示範，帶你理解它們為什麼會出現、系統哪裡出了問題，以及真實世界中為何在意這些情境。

適合對「網站／系統運作」或「資訊安全」有點好奇的你來聽，共有三場，歡迎挑選有興趣的場次參與！

💻 請務必攜帶筆電

【時程】2026.03.23（一）7:00PM - 9:00PM（6:30PM 開始入場）

【費用】社員免費／非社員 50 元

【講師介紹】 Ching

• 資安戰隊竹狐隊長

• HITCON CTF 2025 交流賽第一名

• HITCON Quals 2025 臺灣第一 世界 13

• 國家中山科學研究院 神盾盃 2025 第一名

• 第 55 屆 全國技能競賽 網路安全 第二名

• 第 55 屆 北區技能競賽 網路安全 第一名

• 第 22 屆 ATCC 全國大專院校商業個案大賽 全國總冠軍等多個獎項

• 擁有 OffSec OSCP+ / KLCP / OSWP 等多張專業資安證照

• 曾擔任交大網路安全策進會 BambooFox、資通安全研究院 CTF Workshop、SCIST、COSCUP、臺灣好厲駭 Training 等講師

✨參與跨領域學習中心、Smart TMU活動可集點換禮，本活動認列1點，集點方式詳見跨域官網「Meow Point 跨域貓集點GO!」

https://smarttmu.pse.is/meowpoint

#1 2026.03.18（三）7:00PM - 9:00PM（6:30PM 開始入場）

Web資訊安全工作坊：系統錯判與漏洞

當網站把使用者輸入送進資料庫時，如果設計不夠嚴謹，查詢邏輯可能被改變。我們會用簡單案例認識SQL Injection原理，並看看當系統同時處理多個操作時，為什麼「時間差」也可能造成漏洞（Race Condition）

1. SQL Injection：透過惡意輸入改變查詢邏輯，使系統判斷錯誤（如：不用密碼也能登入成功）

2. Race Condition：利用系統處理順序的時間差，執行額外操作（如：同一筆優惠被領兩次）

#2 2026.03.23（一）7:00PM - 9:00PM（6:30PM 開始入場）

Web資訊安全工作坊：當資料被操控

不同的資料庫架構會帶來不同的風險，我們會介紹NoSQL Injection基本概念，以及當網站直接顯示使用者輸入內容時，為什麼需要特別小心（Cross-Site Scripting, XSS）

1. NoSQL Injection：不同格式的資料庫被注入惡意查詢（如：繞過登入驗證）

2. XSS：惡意程式碼被放到網站上供人瀏覽（如：偷走登入帳號）

#3 2026.03.30（一）7:00PM - 9:00PM（6:30PM 開始入場）

Web資訊安全工作坊：攻陷系統控制權

當網站需要讀取伺服器檔案或執行系統指令時，如果設計不夠嚴謹，可能會讓系統存取到不該存取的內容。我們會介紹Local File Inclusion (LFI) 與Command Injection (CMDi) 的基本原理

1. LFI：讓網站讀取本不公開的伺服器檔案（如：看到設定檔或密碼）

2. Command Injection：讓網站替攻擊者執行系統指令（如：遠端控制伺服器或下載惡意程式）