-
-
[公告]看雪2018安全开发者峰会现场直播（结束）
-
发表于: 2018-7-21 06:22
-
|
|
|---|---|
|
|
|
|
|
时隔8个月，新的一届看雪安全开发者峰会终于来了，今天我给没来参加的小伙伴们来一个图文直播。 这次峰会的选址在国家会议中心，一进大门就看到了签到处，工作人员们热情的给大家进行签到。 
连忙签到进会场，恰好遇到了看雪创始人段钢大哥，当然，礼仪的小姐姐让我们眼前一亮。  让我给小姐姐单独拍一张，大家也可以看到后面热闹的厂商展台，人山人海，就差锣鼓喧天了。 
会场更是座无虚席 
最后于 2018-7-21 09:40
被黯夏子风编辑
，原因：
|
|
|
会议开始首先迎来的是中汽中心软件测试部部长张亚楠的致辞，表示了对安全行业的支持，对白帽子的重视。
 然后我们段老大就上场致辞了，段老大非常实在，第一件事就通知了《加密与解密》第四版的最新消息。  新一版的《加密与解密》 更新了多方面的内容，而且现在已经在京东商城进行预售了，等不及的小伙伴赶紧进行预定吧。  同时介绍了看雪社区的发展规划，以及雪币的全新升级，将雪币进行区块链方式的运营，了解一下： 
最后于 2018-7-21 09:24
被黯夏子风编辑
，原因： 补图
|
|
|
|
|
|
接下来，就是最期待的议题部分，让我们来了解一下今年的干货。
《端到端通信中危险的中间盒子：祝福还是诅咒？》 演讲者：段海新 清华大学网络科学与网络空间研究院，网络与信息安全实验室主任
结合团队近年的研究成果，介绍Web通信中的各种中间盒子存在的安全问题，包括注入广告或恶意内容、泄露用户隐私、缓存污染、大规模拒绝服务攻击等。 
 段老师首先介绍了一下目前的网络劫持的现象，比如酒店网络或者运营商网络被劫持后插入的广告以及目前常见的中间盒子利用。  并且演示了端到端的攻击过程：   并介绍了通过中间盒子进行的防护策略： 
最后于 2018-7-21 09:59
被黯夏子风编辑
，原因：
|
|
|
《被“幽灵”所困扰的浏览器》 演讲者：宋凯 腾讯安全玄武实验室的高级安全研究员 "Spectre" 是一个严重的CPU漏洞，打破了不同应用程序之间的隔离，影响了大部分的主流架构。它允许攻击者欺骗无错程序，且攻击者可以通过缓存来利用这个漏洞，泄漏用户级进程中的敏感数据。大部分公开的攻击，都是本地攻击。如果可以通过浏览器进行漏洞利用，那么对用户的大规模攻击将成为可能。由于浏览器用户量庞大，若攻击成功，结果将不堪设想。 尽管 "Spectre" 漏洞影响了大量的用户，但它能否在实际的攻击中产生危害呢？ 本议题将介绍如何在浏览器中利用"Spectre"漏洞，并介绍如何通过JS 触发"Spectre"漏洞并且生成可以稳定刷新缓存的汇编指令。除此之外，还将展现在浏览器中，通过 "Spectre" 漏洞可能造成的实际危害，并讨论相关的缓解措施。
介绍CPU漏洞
"Spectre"
  "Spectre" in Browsers   |
|
|
|
|
|
《NLP机器学习模型安全性及实践》
演讲者：
吴鹤意， 网络安全爱好者，拥有大型政企单位安全应急与运维经验，多次参与中央部委安全事件解析工作，研究领域现集中于AI+SDN。
现在AI在各行各业的应用越来越多，但是对于AI模型的安全性研究相对落后。虽然国内外一些安全专家已经有了部分的研究成果，但是现阶段，从业务安全的角度，还没有很多的研究资料。本演讲从AI在自然语言处理领域NLP的实际应用出发，通过实例（国内知名NLP机器人产品），介绍AI问答机器人产品的业务安全问题，试图打破AI和业务安全之间的壁垒，推进AI在行业中的落地应用。
 目前的智能对话或者智能客服的反面举例（对话匹配精度不够）：  人工智能与业务安全相关的思考：  |
|
|
工作人员已处理维护 |
|
|
《智能设备漏洞挖掘中几个突破点》
演讲者：马良
绿盟科技安全研究员
本议题主要针对智能设备固件提取的攻防手段进行了整理和总结。 先对嵌入式系统的软硬件的基础架构做了介绍，然后会详细讲智能设备提取固件的十大方法，涉及到的软件和硬件工具，工具的作用和用法。本议题对智能设备安全研究人员提取固件的常用方法进行梳理, 也对开发者提出了一些安全方面的建议, 避免厂家辛苦开发出的产品、想要保护的固件没有保护好，被轻易提取出固件分析。无论是开发者还是安全爱好者都值得一看。  首先是智能设备的组成：   接下来就是这个议题的重点，固件提取思路：   而最常用的方法是这个，拆芯片后通过定制或者自制的编程器来读取固件：  |
|
|
饭后回到现场，乐队在表演，午后的瞌睡感渐渐淡去~
 |
|
|
小插曲：庆哥签名书 
|
|
|
|
|
|
羡慕
|
|
|
《iOS App 安全审计与案例分享》
演讲者：黄涛 盘古实验室安全研究员 本议题将会分享盘古实验室在针对iOS平台的App审计的工作过程中应用的技术手法和发现的常见问题。同时结合真实案例详细介绍在App审计过程中发现并利用ZipperDown的技术细节，包括ZipperDown对微博、qq音乐、陌陌等用户数量达到千万级别的APP的影响以及我们在构建ZipperDown完整攻击链的过程中遇到的问题和解决思路。
在介绍了一些常见的审计总结后，介绍新的审计方向实例，主要是被引用的开源库中的问题：
思考与总结：
最后于 2018-7-21 14:34
被黯夏子风编辑
，原因：
|
|
|
|
|
|
图片上传失败。 |
|
|
|
|
|
已补图 |
|
|
《TCP的厄运，网络协议侧信道分析及利用》
演讲者：钱志云
加州大学河滨分校副教授
介绍网络侧信道的历史。作为一个小众和新型的漏洞类型，我将阐明网络侧信道的威胁和安全风险。作为GeekPwn 2016和2017上获奖项目（同时为顶级安全学术会议作品），我将剖析TCP侧信道的漏洞成因和利用方法（其中GeekPwn 2017的攻击将首次揭秘）。这两项攻击的内容分别影响了Linux操作系统和无线802.11协议标准，受到业界的强烈关注。报告深入浅出，适合不同背景的受众。 【 将首次揭秘GeekPwn 2017硅谷站TCP侧信道的漏洞及利用方法 】  常见攻击模型介绍：  TCP握手协议流程（多年前初始TCP序列号并非随机数）：  对TCP序列号预测后进行攻击的模型：  非中间人任意IP攻击模型：  
最后于 2018-7-21 14:52
被黯夏子风编辑
，原因：
|
|
|
《自动逆向机器人》
演讲者：弗为
阿里巴巴安全部猎户座实验室高级安全工程师
分析软件、破解文件和协议、漏洞分析和利用，都需掌握逆向技能。 你想不想有一个机器人，能够： 1. 文件和协议格式的自动化逆向，把相关软件运行一遍就能分析的清清楚楚； 2. 再也不怕“不稳定重现的漏洞分析”，而且修改的每个字节，后序流程都一览无遗； 3. 发现wannacry在系统中残留的密钥（独家）； 4. 无论多复杂的虚拟机壳，都能轻易找到算法的密钥。 本议题会和大家分析我们在自动化逆向能力上的部分进展。  针对上图中我们在逆向分析中遇到的一些痛点，演讲者介绍了一种新的自动化的思路来解决上述痛点：   最终实现使用自动逆向机器人完成逆向分析。
最后于 2018-7-21 15:31
被黯夏子风编辑
，原因：
|
|
|
干货不少啊，羡慕！
|
|
|
感谢@黯夏子风大大的直播，让我们身临其境，虽然没有现场的氛围没有现场的充实内容但能让千里之外的雪友们第一时间了解盛况！再次
 感谢！
|
|
|
中间抽奖环节
 |
挽梦雪舞
