關於 callback 機制 ，我們在網路上蒐集到這些相關的討論、資訊與評價

UPnP協定漏洞波及數十億連網裝置，可造成DDoS攻擊

文/林妍溱 | 2020-06-15發表

安全研究人員Yunus Çadirci發現IoT裝置仰賴的UPnP協定存在安全漏洞，可讓駭客用來掃瞄網路、竊密，或是以物聯網用來助長分散式阻斷服務攻擊（DDoS）。

安全研究人員發現IoT裝置仰賴的UPnP協定存在安全漏洞，可讓駭客用來掃瞄網路、竊密，或是以物聯網用來助長分散式阻斷服務攻擊（DDoS）。

編號CVE-2020-12695的漏洞是由土耳其研究人員 Yunus Çadirci發現，和UPnP協定有關。UPnP跑在UDP port 1900埠及TCP埠，用於物聯網裝置尋找與控制的區域網路（LAN）上其他鄰近裝置的網路協定。但是UPnP協定是為受信賴的LAN裝置而設計，因此缺少流量驗證機制，不良預設可能給遠端攻擊者下手的機會。

研究人員發現UPnP SUBSCRIBE功能中的Callback header值可能被攻擊者操控，而造成了類似伺服器端的請求偽造（Server-Side Request Forgery，SSRF）漏洞，又被稱為CallStranger。CallStranger可被用來造成多種攻擊，像是繞過資料洩露防護（DLP）及網路安全裝置，引發資訊外洩、從連上網際網路的UPnP裝置掃瞄LAN網路的傳輸埠，或是以這些UPnP裝置為基地造成進一步、規模更大的反射式TCP DDoS攻擊。講得明白點，就是這些家用或企業產品，可能被用來發動DDoS攻擊。

Çadirci指出，全球數十億連網產品，包括路由器、電腦、印表機、遊戲機、TV、IP攝影機甚至對講機等，都受CallStranger漏洞影響。

研究人員發現本漏洞後，於去年12月首度聯絡標準制訂組織開放連網協定（Open Connectivity Foundation，OCF），後者今年4月才釋出新版規格，而且由於這是存在於UPnP本身的漏洞，相關廠商也花了好一段時間來修補。

ISP和DSL/纜線路由器廠商應檢查其產品的UPnP協定，廠商應升級新版規格以修補SUBSCRIBE功能。ISP則可以關閉由外部網路的UPnP Control & Eventing傳輸埠。企業用戶應在裝置廠商升級前，實施網路深度防禦措施。至於一般家用戶，研究人員表示不需關閉UPnP，只是要確保UPnP裝置沒有曝露在網際網路上。

這不是UPnP第一次傳出漏洞問題。2018年安全廠商Imperva發現UPnP協定的UPnProxy漏洞，可能讓駭客用來發動進階持續性滲透（APT）攻擊或是分散式阻斷服務攻擊（DDoS）。

附圖：物聯網裝置仰賴的UPnP協定含有安全漏洞，可讓駭客用來掃瞄網路、竊密，或是發動分散式阻斷服務攻擊

資料來源：https://www.ithome.com.tw/news/138230?fbclid=IwAR1ZNq-yOjBkyPumZJ7P3AdtAml5iFHdFzvRmPADgA2wr1Uc7qZpbRazLgM

或許夥伴們正想進階到網頁設計開發，這篇新手入門是經驗談，整理的很棒！一定要分享。感謝作者無私奉獻～

作者說：此文章我預設的對象是毫無程式基礎的人。若你已經有了程式基礎，可以自行略過相關的單元。

Hello 大家好

這次要來分享的是網頁前端的學習路線以及資源
是我帶過一些學生並思考過後慢慢總結出來的路線
去 Google 找已經可以找到很多學習路線的相關資源
但我這篇會講得比較詳細一點

文章很長，因為每一點都有附上學習理由與學習目標

這邊先附上大綱，有興趣再點進去看：

1. Command Line 的使用
2. Git 的使用
3. npm、Node.js 與 JavaScript 程式基礎
4. 單元測試 Unit Testing 與 Jest
5. 網路基礎概念
6. HTML 與 CSS
7. JavaScript 與 DOM 以及事件機制
8. 非同步與 AJAX
9. 基礎後端 PHP 與 MySQL
10. 資訊安全概念
11. 學習後端框架 Express
12. 後端部署
13. jQuery 與 Bootstrap
14. CSS 預處理器
15. 非同步歷程：callback、promise 與 async/await
16. 深入理解 JavaScript 與瀏覽器相關機制
17. gulp 與 webpack
18. 物件導向
19. React/Vue/Angular 三選一

（如果你疑惑為什麼要學後端，文章裡有寫理由）

有些人可能會覺得上面列出來的東西很多
但我覺得學完以後只是個開始而已
從每一項基礎都可以延伸出更多的東西
希望這篇文章能對想要學習網頁前端的人有幫助