EC-Council ECSA資安分析專家 v10 考試心得分享

感謝 leviliang (levi) 於PPT的分享：
https://www.ptt.cc/bbs/License/M.1534571704.A.5BA.html

這大概是ECSA v10考試最完整的心得分享。基於這份寶貴資料，結合ECSA v9版考試重點(很多相同的)，我整理了ECSA v10考試重點如下，並標上頁碼。

我的心得是：
1. v9考古題幾乎沒有參考價值，除了習慣英文之外，但v10目前可能還沒有。
2. 要通過ECSA v10，建議必須看熟課本，至少重點要記熟。
3. 我和通過ECSA v10的同事交流過，每個人考試題目應該不完全相同。
4. 考試150題很多，考試前要睡飽。

個人整理如下：

Module 01 - Introduction to Penetration Testing and Methodologies
P.??	法規(SOX, GLBA, California SB 1386)，Vulnerability Assessment與Penetration testing的不同。
P.7	黑白灰箱應用題(盲與雙盲)。
P.13	Penetration Phase三階段概念(Pre-Attack Phase, Attack Phase, Post-Attack)。
V.9	- P.??: Types of Security Policies (考Prudent那個) - P.??: Security Policies (發現HR部門有員工私接Modem, 問要查對應的policy是Acceptable-use) - P.??: HIPPA (醫療產業做PT要簽一個文件秒選HIPPA-Complied Company) - P.??: DMCA (盜用程式碼要用這個告-數位千禧年著作權法案(DMCA)-Digital Millennium Copyright Act) - P.5&6: Penetration Test vs. Vulnerability Test (考兩者最主要的差異) - P.22: Scope of Penetration Testing (可以用DoS, Buffer Overflow的是哪個? Destructive Test) - P.08: Types of Penetration Testing (考Unannounced Test) -P.13: Penetration Testing Phases (題目考觀察目標問哪個階段? Pre-Attack Phase)
Module 02 - Penetration Testing Scoping and Engagement Methodology
P.32	RFP(Request for Proposal), Proposal Submission,
P.51, 64, 70, 78,	ROE, EL(Engagement Later), SOW(Statement of Work), NDA的概念一定要懂而且要清楚
P.85	DUA (Data Use Agreement)
P.69	免死金牌(Get-Out-of-Jail-Free Card)也有考，如果課本裡的英文敘述有看，會發現考題敘述完全一樣。
P.84	最後考了一題什麼測試(黑，白，盲，雙盲)才會有ICQ，我這題是選白，因為ICQ是要送給客戶的文件，因此只要是黑箱應該都不允許。PBC (Provided by Client)
V.9	- P.50: ROE - P.78: SOW - P.69: Get-Out-of-Jail-Free Card (目的) - P.66: Penetration Testing Contract - P.74: Liability Insurance (題目問如何預防可能發生的損失?) - P.70: Non-Disclosure Agreements - P.??: Comparing Approaches to Vulnerability Assessment (請服務公司來定期弱掃是? Service Based) (FTP發現有Dir Traversal, 然後針對這個弱點繼續是? Inference Based) - P.??: Vulnerability-Management Life Cycle (執行Patch的階段是? Remediation(整治、矯正))
Module 03 - Open Source Intelligence (OSINT) Methodology
P.99	什麼工具用來用來找類似的Domain Name->urlcrazy。
P.113	Archive.org的waybackmachine。
P.117, 119	dnsrecon的用法(找PTR反解: -r)
V.9	- P.99: Locate the Internal URLs (用Trial And Error方法找不到，應該改用? netcraft) - P.111: Link Popularity (可觀察造訪網站的Visitor特性) - P.117: Find the DNS Record (DNS Info包含Mail Server Ext及IP Address) - P.115: RIR (找到受測公司的IP Range要向RIR(Regional Internet Registries, 區域網路註冊)問) - P.121: Traceroute (Traceroute用途? Extract info about topology, trusted routers, firewall locations...) - P.113: Archive (如何找到已被改掉的有問題網頁? www.archive.org)
Module 04 - Social Engineering Penetration Testing Methodology
P.144, 143, 141	社交工程就是考概念應用，單字弄清楚不要搞錯，考了Dumpster Diving，Shoulder surf，Tailgating，好拿分！
V.9	- P.144: Dumpster Diving - P.143: Shoulder Surfing (看到binoculars秒選這個)
Module 05 - Network Penetration Testing Methodology-External
P.157	ICMP考type 11 (time execceded)
P.158, 159, 160	Port Scan六種務必讀到通，
P. 161	Ack Scan
P.	重要Port號一定要記，DCHP 67與68記得分辨清楚(前者Server後者Client)。 DNS：TCP/UDP 53 TFTP：UDP 69 POP3：110 RPC：111 NTP：UDP 123 SNMP：UDP 161 LDAP：UDP 389 Remote Desktop：TCP 3389 NETBIOS：UDP 135~139, 445(SMB) SIP/VoIP：TCP 5060 Kerberos：TCP/UDP 88
V.9	Mod 06 - External  - P.158: SYN Scan (A發SYN, B發SYN/ACK給A, 但A沒回傳ACK, B所處的狀態是? Half Open)  - P.160: FIN Scan (FIN Scan如果無回應，Port的狀態是Open)  - P.161: ACK Flag Probe Scan (選項TTL有60, 70, 80, 90四種, 問哪個port有開啟?)  - P.174: OS Fingerprinting (做這個的目的是: 找出可能的弱點)  - P.165: PortQry (考題的圖一樣, 選portqry -n myserver -p udp -e 389)  - P.??: Examine the Use of IPv6 at the Remote Location (用46Bouncer的目的是? Examine the use of ipv6)  - P.??: Hping3 IPID Example (圖完全一樣，答案是有SLB在後面)  - P.??: SSI (<!--- #exec cmd="/bin/cat /etc/passwd" ---> 是利用什麼弱點? SSI)  - P.??:SMTP Mail Bouncing (不知道Mail Server資訊何解? 發一封錯誤收件人的信給目標Mail Server, 利用Mail Bouncing)
Module 06 - Network Penetration Testing Methodology - Internal
P.205	考p0f使用，問目標會回覆什麼封包(RST, ACK, SYN, SYN/ACK)以獲得OS Banner。 SYN：Linux：TTL=64 SYN+ACK：Windows：TTL=128
P.214	進行rpc列舉(port=111)：rpcinfo。非rpcenum
補充	NFS就是Network File System的縮寫，NFS的啟動需要透過所謂的遠端程序呼叫 (RPC)。要掃瞄某一部主機他提供的NFS分享的目錄時，就使用 showmount -e IP (或hostname)
P.233	MS17-010：SMB server MS08-067：Code execution
P.238, 239	要知道/etc/passwd中的x代表密碼，但是但是密碼存在/etc/shadow裡。
P.238, 239	Linux的/etc/shadow中欄位的意義(例：密碼最長使用期限maximum password age)
P.242	ARP Poisoning
P.243	MAC Flooding
P.257	Steganography
V.9	u  Internal  - P.209: Enumeration  - P.210: NetBIOS Enumeration (題目給NetBIOS Information Obtained那欄，問你用的手法? NetBIOS Enumeration)  - P.218: Wireshark (如何看到cleartext的TCP訊息? Follow TCP Stream)  - P.242: ARP Poisoning  - P.257: Steganography (藏資訊在圖內，問手法是? Steganography)  - P.243: Mac Flooding (Flood CAM table的手法是? Mac Flooding)  - P.244: DNS Poisoning (PT發現c:\windows\System32\drivers\etc被改，手法是? DNS Poisoning)  - P.218: Wireshark Display Filter：rip.src==[ip_address] (還有protocol是FTP，問語法應如何下? ftp&&ip.src==[ip_address])  - P.258: FTP  - P.239: Linux Password (passwd發現密碼是x，應該怎麼辦? 提權找shadow)  - P.239: Rainbow Attack (拿到HASH要怎麼攻擊帳號才不會被鎖定? Rainbow Attack)  - P.238: Linux Password (給你一行entry問第5個的數字代表意義? max number of days the password is valid)         /etc/shadow         username:         MD5 encrypted password:         last password change:         min mumber of days required between password changes:         max number of days the password is valid:         number of days the user is warned before the exp date-
Module 07 - Network Penetration Testing Methodology-Perimeter Devices：重點章節，考很多很多。
P.278, 279, 280	Firewalk考目標回什麼代表防火牆Port是open。 TTL exceeded error … open port
P.???	四種防火牆的用途： Packet Filtering: 1.     OSI network layer(3), for IP packet。 2.     過濾每個packet。 3.     Low cost & impact。 Circuit Level Gateway: 1.     OSI session layer(5)。 2.     監控packet間的TCP handshaking決定是否放行。 3.     相對不貴。 Application Level Gateway: 1.     OSI application layer(7)，又稱proxy。 2.     進出packet若無proxy將無法存取service。若只設定為web proxy，就無法處理FTP、Telnet等服務。 Stateful Multilayer Inspection: 1.     結合前3型，過濾OSI(3)的packet，決定OSI(5)的packet是否合法，並判斷OSI(7)的packet內容。 2.     昂貴，需要專業人員管理。
P.281	Hping設定SYN Flag也是考目標怎麼回代表防火牆是open。Hping 10.1.1.1 –c2 –S(SYN) –p21 -n Port closed：ICMP Unreachable type 13 from ….packet filter firewall Port open：SYN/ACK
P.286, 287	nmap考decoy參數(別跟Spoofing搞混)。Decoy：誘捕 -D : spoof Packet -S [假IP] -e [介面卡]: spoof IP -g: spoof Port
P.291, 292	Source Routing (改packet內容), HTTP Tunneling (不檢查HTTP packet), ICMP tunneling (ICMP內容無標準)都有考。
P.300	IDS的Insertion (1-character packet, 利用TTL-1=0讓部分packet死在IDS)
P.301	IDS的Inconsistent Packets (利用header大小不同，TCP: Offset field、UDP: UDP Length field，讓IDS無法重組)
P.302	IDS的Fragmentation (利用User等待Packet Frag的timeout時間大於IDS)
P.303	IDS的Ping of Death (ICMP > 65536)
P.304	IDS的Unicode Evasion (躲避特徵碼比對)
P.304	IDS的Polymorphic Shell-code(考題敘述執行一Buffer Overflow，插入有加密之Payload，請問這是何種攻擊)
P.305	IDS的Obfuscation or Encoding
P.307	IDS的TTL Evasion (類似IDS Insertion)
P.310	IDS的Backscatter(考題敘述網路上偵測到大量SYN/ACK廣播封包但無SYN封包，請問有可能是何種攻擊)
P.311	IDS的Method Matching (GET改HEAD)
P.312	IDS的Reverse Traversal (haha\..)
P.317	IDS的Session Splicing (session timeout > IDS timeout)
P.327	Router的Finger服務(Port 79)取得使用者身分
P.329	Router的Source Routing，以-j顯示寬鬆(loose)設定，以-k顯示嚴格(strict)設定
P.331	Router的ARP Attacks (ARP: 位址解析，IP address vs. MAC address)
P.343	Router的MAC Table Flooding
V.9	Mod 07 - Firewall  - P.??: Software Firewall (Hardware比Software FW好的地方在? 不會受到底層Commercial OS弱點的影響)  - P.??: Types of Firewalls (Session Layer的是Circuit Level FW)  - P.??: Firewall Policy (步驟順序i-v會考，請記下來)  - P.280: Traceroute  - P.278: Firewalking (收到TTL Exceeded代表Port有開)  - P.281: Hpinging (收到SYC/ACK代表Port有開)  - P.291: Source Routing (如何規避FW檢查? Source Routing)  - P.292: ICMP Tunneling (為什麼ICMP Tunneling有效? 因為一般FW不會檢查Payload) Mod 07 - IDS  - P.300: Insertion (看到碎成1-character packet秒選Insertion Attack)  - P.301: Sending a Packet to the Broadcast Address (Amplification)  - P.301: Inconsistent Packets (寫了實際大小為300KB的Trojan但使用工具修改header成50KB的是? Inconsistent Packets)  - P.303: Ping of Death  - P.304: Unicode Evasion (給HTTP有做unicode的情境圖，問攻擊手法是? Unicode Evasion)  - P.304: Polymorphic Shell code (寫了惡意程式要如何規避IDS檢查 Polymorphic Shell code?)  - P.310: backscatter (管理者發現有一堆SYN/ACK，問攻擊手法是? backscatter)  - P.311: Method Matching (用HEAD來規避用的手法是? Method Matching)  - P.317: Session Splicing (封包間有故意delay來規避用的手法是? Session Splicing)  - P.???: Snort(IDS) (考了一題 Snort rule，問偵測從Internet到內網的SNORT規則應如何寫?)  - P.???: Snort Rule
Module 08 - Web Application Penetration Testing Methodology
P.385	SQL Injection，不僅SQLMAP的指令參數要熟，考題還有考Blind SQL Injection的指令(ORD與MID函式，比較什麼Table的第幾個欄位的第幾個字之類的)。
P.388	SQL Injection的萬用字元(Wildcards)，可用於DoS：  %   []   [^]   _
P.390	Inline Comment，避開IDS、WAF：/**/
P.392	Function-Call Injection Attack：資料庫預設函式TRANSLATE，URL_HTTP.REQUEST
P.422	Connection String Injection與Connection String Parameter Pollution(CSPP)要分清楚，有一題放在一起考。
P.429	Session Token與HTTP Cookie有考
P.431	WSDL的SOAP
V.9	- P.368: 爬網、砍站軟體Dirbuster、BlackWidow、HTTrack (Dump網站離線找出可能弱點)  - P.???: Types of SQL Injection (appending additional SQL query after escaping original query是? stacking query injection/Batch query)  - P.388: wildcard (%)  - P.???: username like char(37) (有WAF無法用Admin ' OR'何解?) char(37) = %  - P.377: sqlmap (考指令)  - P.373: Fuzz Testing (Input massive amount of data to crash application是? Fuzz Testing)  - P.???: Source-Code Review  - P.384: sqlmap (考指令，圖給列出某個Database下的Table的sqlmap畫面結果問你指令如何下)  - P.385: First Table Entry (題目給/?id=1+AND......指令，問你這個指令是用來? Extract first character of the first table entry)  - P.388: DoS Attack  - P.390: Inline Comments (給/**/問你手法是?)  - P.391: Obfuscated Code (給課本圖的情境，問你手法是?)  - P.392: Function-Call Injection  - P.400: Directory Traversal  - P.396: XSS (如何避免XSS? 用Server Script處理角括號)(應該吧)  - P398.: Parameter tampering  - P.425: Session ID Prediction (xxxxxx12, xxxxxx24, xxxxxx36 問你下一個Session ID是?)  - P.424: Session Management  - P.422: Connection String Injection (給課本上After Injection的圖，問你手法是? Connection String Injection)  - P.431: Web Services Probing (給課本上The attacker traps the WSDL...的描述，問你手法是?)  - P.431: SOAP Injection (應該如何開始? 用'來使頁面跳錯)  - P.434: XPath Injection
Module 09 - Database Penetration Testing Methodology
P.456	各個DB的Port：Oracle 1521、MSSQL 1433、MySQL 3306
P.460	TNS Listener三支程式的目錄要記： $ORACLE_HOME/bin/lsnrctl (listener control) $ORACLE_HOME/bin/Tnslnsr (listener process) $ORACLE_HOME/network/admin/listener.ora (listener config)
P.474	Oracle DB Vault要怎樣Bypass？先假扮SYSDBA再用SQL Injection。
V.9	- P.455: Database Port Scanning (用1521的是哪個DB?)  - P.463: Exploit Web Applications (考List All Username的指令)  - P.460: TNS Listener (考TNS Listener的檔案位置)  - P.460: Listener Modes (考Provide network access to Oracle DB instance是哪個Mode? Database Listener Mode)  - P.466: Extract SQL Server Database Information (考nmap指令 nmap -p1434 --script ms-sql-info)  - P.481: SSL (題目問如何強化DB安全? 只有SSL Certificate的選項是對的)
Module 10 - Wireless Penetration Testing Methodology：重點章節，考很多很多
P.	aircrack-ng考很多很多很多，數字參數要記(-0=--deauth, -1=--fakeauth, -3=-arpreply, -4=--chopchop, -5=--fragment, -9=--test)，效果與原理也一定要懂(上網查)。
P.499, 501	WEP與WPA-PSK的破解流程要背起來，考了步驟組合的選擇題。
P.504	MAC-Filtering印象也有考了兩三題，簡單來說就是破解得到了密碼但卻連不上，這要使用參數(--fakeauth)偽造MAC連線。
P.522, 523	iPhone的越獄工具：Pangu。這題跟Android的root工具放一起考。 iPhone：Cydia、Keen、Pangu Anzhuang。 Android：One Click Root、Kingo Android ROOT、SuperOneClick、Superboot。
P.533	Android的Intent Sniffing也有考，我有自己寫過Android App所以知道App內部傳值用Intent，但這題如果沒仔細看書會選不出來。
P.540	zANTI有考，這個工具建議下載來玩，可以直接用手機做弱點掃描。
P.550	iOS的Reverse Engineer：考了class dump utility，題幹直接敘述Objective-C runtime information stored in Mach-O files，跟課本敘述一模一樣。其他還有IDA disassembler。
V.9	u  Wireless  - P.490,494: Identify the rogue access points (題目考怎樣偵測rogue AP? 何者為非?) => 非授權的AP、MAC、radio media type、radio channel，War-Driving  - P.498: packet injection attack (air的指令會考，請背) => aireplay -9  - P.499: Crack Static WEP Keys (air的指令會考，請背)  - P.501: Crack WPA-PSK Keys (air的指令會考，請背)  - P.504: MAC Filtering (air的指令會考，請背) u  Mobile  - P.523: Mobile Penetration Testing Methodology (Intercepting HTTP traffic是? Communication Channel PT)  - P.522: Rooting the Android Phones  - P.523: Communication Channel Penetration Testing  - P.524: Android：Intercept HTTP Requests by Fiddler，Port 8888  - P.526: iPhone：Intercept HTTP Requests by Charles，Port 8888  - P.533: Intent Sniffing (題目考Inter/Intra-app的通訊用的技術? Intent)  - P.535: Reverse Engineer the Android Application：Apktool、dex2jar、JD-GUI、Agnitio  - P.540: zANTI (題目選項說PT人員用來檢測行動裝置弱點的工具是?)  - P.542: iPhone Is Jailbroken or Not (發現有Read/Write Permission的/root檔案很多，/etc/fstab變大，裝了Cydia)  - P.550: Reverse Engineer the iOS Applications (題目問command line的reverse engineer工具 - Class Dump)
Module 11 - Cloud Penetration Testing Methodology
P.567	IaaS, PaaS, SaaS要了解清楚，題目考英文能力。
P.578	要知道Lock-in Problem是什麼意思，考了情境題。
V.9	Mod 11 - Cloud  - P.567: IaaS (題目描述有提供API, Core Connectivity, Abstraction, HW是哪種類型雲服務? IaaS)  - P.578: Lock-In (無法更換CSP的情形是? Lock-in)
補充	WordPress與WooCommerce都是由Automattic所開發的產品，其中，WordPress為開源的內容管理系統（CMS），在CMS市場的佔有率高達6成，至於WooCommerce則是免費的電子商務外掛程式，安裝數量超過400萬，並號稱有30%的線上商店都採用該外掛。 RIPS安全研究人員Simon Scannell指出，WooCommerce含有一個檔案刪除漏洞，允許商店經理（Shop Manager）移除伺服器上的任何檔案，這類的漏洞通常不會造成太大的危害，頂多是刪除網站上的index.php檔並造成DoS。然而，當輔以WordPress的權限處理漏洞時，卻能讓駭客掌控整個網站。
Module 12 - Report Writing and Post Testing Actions
P.605	考了Comprehensive Technical Report。
V.9	Mod 12 - Report  - P.605: Comprehensive Technical Report  - P.618: Updates and Patches