今年台灣駭客年會（HITCON）社羣場於8月23、24日連續兩日舉行，現場重頭戲不僅包括多場技術資安議程，還帶來一系列資安相關活動與挑戰，吸引近千名對資安有興趣的研究人員與學生參與。特別的是，今年已是HITCON第20週年，象徵著該活動在台灣資安社羣中的深厚歷史與影響力。

綜觀這20年的發展，台灣駭客協會理事長翁浩正於今年活動開場時指出，現在的資安環境與早期相比，有著顯著不同。

例如，現在這幾年HITCON已經達到千人規模，而當時HITCON就像是一個30、40人的技術同好會。

不止是國內HITCON社羣人數的變化，回顧20年前，資安的重要性鮮少受到關注，如今無人質疑其關鍵性，現在更值得討論的是，我們該如何進一步提升並做得更好。

畢竟，全世界在這20年間不斷在改變，不只是技術在改變，資安事件、駭客組織、APT組織也都全部在演變，像是雲端、生成式AI，還有網路戰爭等，這或許是20年前我們完全想像不到的未來，因此，我們需要不斷探索科技的變化，找出資安議題與駭客議題。

翁浩正強調，HITCON不再是少數技術同好交流的一個場合，而是產官學研與國際夥伴們一起討論與參與，不僅活絡台灣資安社羣發展，也讓台灣的資安能夠變得更好。

事實上，現在HITCON系列活動是越來越多元，例如，這兩日舉辦的活動就是針對駭客技術的社羣場，聚焦研究人員與學生在技術上的交流與成長。之後10月，還有針對企業防禦實務技術及資安管理的企業場，以及CTF競賽、Cyber Range 2024企業藍隊競賽，還有CISO Summit資安長高峯會等。

豐富大會活動激勵駭客挑戰精神 ， 電路板識別證與遊戲程序錯誤吸睛

今年HITCON社羣場中，在多項最新技術分享的議程之外，各種豐富的大會活動也是一直以來的重點，是促進國內資安社羣、新血交流與學習的重要平台。

例如，一系列針對資安入門到初階課程的Hacking 101，以及激發大家對韌體挑戰熱情的電路板識別證（PCB Badge），還有社羣、Village與業者設計的各式小活動等，促進彼此間的學習與交流。

本屆HITCON 2024社羣場總召遊毓堂（阿特）表示，今年Hacking 101課程相當熱門，參與會眾相當踴躍，因為課程中可以手把手帶大家認識攻擊與防範，這次規畫了3種主題，涵蓋面向包括去中心化方面的DeFi Expolit、AD CS安全，以及藍隊綜合培訓惡意程式偵測技術。

在激發駭客精神方面，有兩大亮點受到我們關注，一是20週年紀念版的PCB Badge（電路板識別證）的主要挑戰活動，另一是有關薩爾達傳説（The Legend of Zelda）遊戲程序錯誤的演説議程。

以今年的PCB識別證而言，這款Badge不僅具備獨特的設計，內含LED跑馬燈顯示、紅外線、PIN腳、跨版溝通等多種功能，不僅讓會眾可以自行編輯名字，並內建多種小遊戲，包括貪食蛇、小恐龍、俄羅斯方塊，可以在大會活動兩天內累積分數並獲得大會獎勵。

特別的是，可以累積Badge分數的方式有很多種。大會總召遊毓堂表示，這款Badge設計了紅外線（IR）的收發器，一旦靠近熱點就會加分，尤其在靠近一些攤位或講師時，分數就會增長比較快；而在Badge上提供的小遊戲，更是需要大家找出計分規則，像是可以與電腦相連接以分析PCB版韌體，找出計分規則，甚至玩出沒有想過的方法，激發更多想像力。

而且，今年的Badge還有一個全新設計，能夠兩兩對接方式進行對戰，甚至直接傳送分數給對方。

另一個激發駭客精神的亮點，是大會一場演説中提到遊戲程序錯誤的挖掘，雖然這不是典型的資安議題，但卻與駭客精神一致。

這是由一位知名遊戲程序錯誤（Glitch）的兼職型YT創作者YUDA所分享，他介紹了遊戲世界中除了正規玩法、Speed Run，還有挖掘Glitch、Bug的領域。

他分享了在任天堂Switch遊戲《薩爾達傳説：曠野之息》與《薩爾達傳説：王國之淚》中挖掘程序錯誤的經驗，同時介紹這方面的研究社羣，是如何一步步探索出新的成果，並闡釋從意外發現、刻意發現、邏輯確認的「逆向思考」反推方法。

不只是AI，半導體資安人才需求、Car Hacking成現場新焦點

本場活動還有哪些全新焦點？在社羣、Village與廠商攤位上，我們有3大發現，涵蓋AI資安、半導體資安人才需求、Car Hacking。

首先，AI無疑是這幾年的重要焦點，大會上不僅有4場是與AI、資安相關的演説，現場也有一些攤位活動聚焦於此。例如：一款名為「新手Prompt之助」的遊戲」，是由中華資安國際開發，讓會眾掃描QRCode後可以開啟一個網頁與聊天機器人對話，目標是套出其所保護的神秘金鑰，遊戲共分為6個等級。

還有一款UCCU AI Challeng的遊戲，是由資安社羣UCCU Hacker開發，這遊戲不僅有探索安全防護機制的Prompt Injection挑戰，還有考驗要設計可防禦Prompt Injection的挑戰，並會有難度等級讓參與會眾可以循序挑戰。

其次，半導體之所以是一大焦點，這是因為我們難得在HITCON社羣現場，看到有半導體業者設攤並提供現場遊戲活動。

這家業者就是在半導體封測領域相當知名的「日月光半導體」（ASE Global），他們資安團隊設計了一個SOC事件調查的情境解題遊戲，讓會眾可在現場檢視SSLVPN、Server、防火牆這3個儀表版，並給出5個問題讓玩家一一回答，包括攻擊者從那個IP位址登入指定一台主機等。

根據該公司資安團隊現場人員的説明，在資安人才培訓上，除了採用市場上的方案，他們本身也打算自行設計一套平台，協助內部人員的資安培訓。因此剛好藉由HITCON社羣活動，正式啟動這項計畫，而這次設計的小遊戲只能算是雛形，並將內容更為簡化，像是Log數量控制在1,000筆之內等，以適合現場的解題。

事實上，這次日月光半導體的參與，也引起了現場眾多與會者的關注。可以想見的是，此舉展現了企業方對資安人才的需求，而且還是相當知名的半導體業者，突顯出資安技術專業對企業的重要性，不亞於普遍資安業者。

最後，另一個Car Haking活動也相當特別，因為這個領域的Village活動在國外已發展一陣子，近年此風潮才吹向台灣。如今HITCON也增加這方面的元素，邀請海外的Car Hacking Village，現場展示了車用資訊娛樂裝置，以及針對車用系統的小工具，透過一些獨特的實作讓大家瞭解Car Haking的不同之處。

在多項最新技術議程中，Confusion Attacks攻擊面揭露成焦點

至於每年ITCON社羣場的分場演講，一直是許多資安技術熟手獲取新知的重要管道，當中最受矚目的就是戴夫寇爾首席資安研究人員蔡政達（Orange Tsai）的演説，這是因為，每年他都有重大研究成果揭露，並受到國際資安研究人員的重視。

這次他分享了最近8月黑帽大會期間首度公開的成果，並且是首次現場中文演説，剖析他發現新攻擊面的經過與思維，讓大家去思考這樣全新的利用方法。

簡單來説，他闡釋了關於Apache HTTP Server方面的研究，公開了Confusion Attacks的新攻擊面，統整出3種手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，並且發現與通報了9個漏洞。

他指出，Apache HTTP Server的發展近30年之久，其實比現場7成與會者都還要年老，因此累積了非常多的技術債，而且整個網頁伺服器是由數百個小模組結合而成，因此當中存在不同的設定語法，若是不瞭解每個設定的意圖，很容易因為設定失誤而造成安全風險。以Filename Confusion手法為例，如果有兩個模組對同一個欄位有著理解上的不一致，就會造成安全上的風險。

不只是上述這項演説內容，今年HITCON社羣場議程所涵蓋的資安議題，也是相當豐富，涵蓋了事件應變、雲端安全、零信任、企業紅隊演練、區塊鏈、隱私與資安治理等多元面向，還有多個零時差漏洞的解析，並有多場是來自日本與美國的專家演説。特別的是，今年大會同時提供中文、日文與英文的現場翻譯，展現國際化的特性。

最後，隨著HITCON第20週年的發展，回顧與傳承也成為今年的一大特點。在回顧方面，現場議程不僅有國際級的資深研究人員，闡述這30年、25年的資安態勢演變，大會遊毓堂（阿特）表示，活動上也有HITCON 20年紀唸的博物館，以及回顧並復刻往年HITCON CTF的經典題目；在傳承方面，台灣駭客協會理事長翁浩正特別提到，20年前他是這裡的參與者，20年後他依然在資安產業裡面，如今他也感謝這幾年的社羣夥伴們，可以承接HITCON的火炬，繼續往下傳承。