首页 > 科技 > 正文

首届看雪2017安全开发者峰会圆满落幕

来源:互联网 发布时间:2017-12-11 21:33:54 编辑:环球财经网
评论 点击收藏
导读:12大议题、2场座谈、3场抽奖、超过500人会议现场,一个满载技术干货与厚重情怀的看雪2017安全开发者峰会在11月18号举行。11月的北京,寒风初上。泠冽的空气中,透露着北京这座古都的庄严。18号这天,看雪2017安全开发者峰会

12大议题、2场座谈、3场抽奖、超过500人会议现场,一个满载技术干货与厚重情怀的看雪2017安全开发者峰会在11月18号举行。

11月的北京,寒风初上。泠冽的空气中,透露着北京这座古都的庄严。

18号这天,看雪2017安全开发者峰会在北京悠唐皇冠假日酒店隆重举行。

来自全国各地的开发人员、安全研究者以及相应领域顶尖专家,都在2017看雪安全开发者峰会齐聚一堂,只为这场“安全与开发”的技术盛宴。

从早上8点开始,便有络绎不绝的听众赶来,场面火爆。会议厅更是爆满,后面都挤满了站着的人。

赞助商与支持单位

本次大会得到了梆梆安全、腾讯安全、爱加密、几维安全、百度安全、硬土壳、金山毒霸(猎豹旗下品牌)、乐变技术、腾讯TSRC、Wifi万能钥匙、天特信息、360公司、江民科技、博文视点、华章图书、infoQ、雷锋网等数十家公司和媒体的大力支持和赞助,在这里向他们表示衷心的感谢!

参展商展台

会场外布置有各大展商的展板,受到参会者热烈欢迎。

会议主持人

本次会议的主持人为北京启明星辰ADLab副总监、集团首席技术组成员侯浩俊,他幽默风趣的主持风格,使现场的气氛越发火热起来。

嘉宾致辞

中国信息安全测评中心总工程师王军致辞

来自中国信息安全测评中心总工程师王军为本次看雪安全开发者峰会致辞,在致辞中他表达了对我国互联网安全严峻现状的担忧,他提到:“第一,习近平总书记在十九大报告里面,把网络安全、恐怖主义、新生疾病以及气候变化作为人类所面临的威胁之一,这突显了我们对于互联网安全进行深入探讨的意义。第二,可以看到,带来互联网安全根本性的问题有几个:系统复杂性、系统存在漏洞、还存在着对手的威胁。在这几个问题当中,如何解决,需要从问题的根源,也就是从开发阶段、从产品以及系统的生产阶段解决,这是我们解决问题的根本途径之一。因此,看雪论坛组织安全开发的讨论是非常有意义的。”

看雪学院创始人段钢发表致辞

看雪学院的创始人段钢,发表本次峰会致辞。在致辞中,段钢向大家介绍了看雪的由来和发展历程。这是看雪成立公司以来所举办的第一届峰会,段钢在致辞中向大家说明了看雪正在做的事情,以及未来的发展蓝图,包括看雪课程、看雪培训、看雪知识库、看雪人才库、看雪社区生态链等。

十二大议题,引爆全场

仙果 Flash 之殇 - 漏洞之王 Flash Player 的末路

7 月份的时候,Adobe 公司正式宣布于 2020 年底停止支持 Flash Player,较之“老兵不死,只是逐渐凋零”平添了几分悲情。时光倒回几年前,那时对挖漏洞的人来说 Flash 是再熟悉不过了,每次更新都伴随着一堆 CVE 的修复,此外 Flash 漏洞还备受黑客组织的青睐,被集成到了各种 EK 工具包中。但事物的发展总有其特定规律,无法做到适应的终将被历史所淘汰。本次分享的议题是由看雪『二进制漏洞』版主、来自兴华永恒的仙果带来的有关 Flash 漏洞的繁华往昔及作为漏洞之王的陨落,跟着演讲者过一遍 Flash 漏洞的利用思想也许会为你在研究其它类型漏洞时带来新的灵感。

汤青松 - 浅析WEB安全编程

曾问过一位搞 WEB 安全的人为什么 PHP 是世界上最好的语言,他的回答是 PHP 网站漏洞多,有饭吃。结合目前黑灰产中借助 WEB 漏洞进行各种薅羊毛的现状,这不禁触发了我们的深切反思。问题究竟出在什么地方,为什么网站会存在 SQL 注入、XSS 跨站、CSRF 这些漏洞,我们应该如何避免在代码中产生这些错误?本次议题是由中国婚博会的 PHP 高级工程师汤青松为我们带来的“浅析 WEB 安全编程”,作为开发人员你会发现其中有许多点是值得我们学习借鉴的,安全问题必须引起每一位开发者的重视。

彭巍 - 业务安全发展趋势及对安全研发的挑战

正如暗网之于互联网世界,现实生活中的黑灰色产业远比你想象中的要复杂。在利益的驱动下,这些隐形产业逐步发展壮大并形成了各自的体系,如接码平台、撞库等,这些都给社会造成了严重的危害,特别是对企业的业务提出了极大挑战,如何对抗黑灰产自然也就成了安全从业者迫切需要解决的问题。此次议题是由威胁猎人团队的彭巍为我们带来的有关企业业务安全的发展及相应对抗实践,其中重点揭露了无孔不入的地下暗黑世界,震惊之余也引发了我们对业务安全的思考。

陆麟 - Windows 10新子系统*新挑战

事物总是不断向前发展的,Windows 系统演变同样如是。在 Windows 10 系统中,微软引入了许多新的特性和功能,而每一次内核结构调整对研究者来说都是新的挑战,同时也充满了机遇。就内核漏洞,除了早已千疮百孔的 Win32k 模块外,能走的路还有很多。此次议题是由上海高重信息科技陆麟带来的有关 WSL(Windows Subsystem for Linux) 的安全研究,其中涉及的内容是很有料的,包括了 0day 漏洞等,为此微软刚在前几天释出 Windows 10 build 17046 新版本用于修复 WSL 中的一些 bug。相信各位都能从中得到启发,另外,演讲者对于技术的热爱可谓溢于言表,谈笑间也尽显 Windows 内核大师的风采。

王东 - 智能化的安全: 设备&应用&ICS

IoT 现在为什么能这么火?究其原因还是与它所处的发展阶段有关,这同最初移动端刚兴起时如出一辙,即相关的防护措施没跟上,机会自然也就多了。很大一部分为智能设备做开发的程序员往往只关注如何实现功能,而忽略了其中的安全问题,对安全研究者来说会发现世界原来如此简单。此外,工控安全问题也日渐凸显了出来,一旦这些基础设施出了事情,那么所带来的后果往往是灾难性的,例如之前的乌克兰电网被黑事件。本次议题由启明星辰 ADLab 西南团队负责人王东为我们带来有关智能化安全的探讨,相信会让各位对所处的这个万物智能世界中存在的安全问题有更深刻的认识。

陈愉鑫 - 移动APP灰色产业案例分析与防范

在移动互联网时代,互联网业务飞速发展,在这样的大背景下滋生了一条以刷单、倒卖、刷榜、引流、推广为主的灰色产业链。山寨APP遍地开花,给原APP的开发者带来了很大的冲击,这些人往往被称为“打包党”。他们以低成本换取了高额的利润,给互联网企业以及用户都带来了巨大的损失。虽然加固技术、风险控制、设备指纹、验证码等技术也都在飞速发展,但实际效果并不能让人满意。在本次峰会上,陈愉鑫揭露了多个真实案例的技术细节、开发流程、运营流程,描述了一条以刷单、倒卖、刷榜、引流、推广为主的灰色产业链。并提出一些防护建议,协议安全需要从体系上进行加强。

杨经宇 - 开启IoT设备的上帝模式

伴随着IoT设备大量涌入智能家居领域,大众的安全也将面临更严峻的挑战。IoT设备因为自身与传统PC设备在硬件和软件上的巨大差异,引发了新的安全问题。峰会现场,腾讯反病毒实验室安全研究员杨经宇以摄像头固件校验漏洞为例,着重介绍了一种伪造固件绕过固件校验算法进行Root设备的方法,该漏洞也被CNNVD收录,并被评级为中危漏洞。

而IoT设备被破解之后,带来的安全隐患也不仅局限于监听监控。杨经宇还以一个DDNS智能硬件的root漏洞为例,详细讲解了如何将一个原本不具备WiFi功能的IoT设备开启WiFi功能,这将可能引发更多意想不到的攻击。在演讲最后,杨经宇对IoT安全的缓解机制提出建议,即通过固件签名、保护种子、物理手段,能够对固件校验、密码生成、WiFi扫描过程中出现的IoT设备漏洞进行有效防御。

邓永凯 - 那些年,你怎么写总会出现的漏洞

源代码作为软件的最初原始形态,其安全缺陷是导致软件漏洞的直接根源。与之相对的是,解决代码的完整性与安全性,实现安全编码也成为减少漏洞的根本解决办法。但让人无奈的是,在编写数量繁多且关系复杂的代码的过程中,难免会出现各种各样的问题,即使是具有多年开发经验的老司机也是一样。这些问题就像是高考英语易错短语一样,成为每个程序员编写代码的“必经之路”。

在本次看雪安全开发者峰会上,邓永凯对开发者在开发编码时最容易产生漏洞以及意料之外的漏洞进行分析,阐述其原因以及应该注意的地方。通过没有防御到防御绕过、错误的防御姿势、错误的使用方法、错误的修复方法、系统及语言自身特性、设计缺陷、二次漏洞、程序员的惰性导致的漏洞等方面进行实例讲解。

胡和君 - 定制化对抗――游戏反外挂的安全实践

如今很大一部分人会通过游戏来进行适当的娱乐放松,在这个过程中玩家最关心的就是游戏的公平性问题,然而由于外挂的存在使得一些玩家轻轻松松就开启了“上帝模式”,因此如何反外挂就成了众多游戏公司最头疼的问题。本次议题,腾讯游戏安全高级工程师胡和君以FPS类型游戏的自瞄外挂功能的对抗为例,通过对自瞄外挂实现原理的解析,阐述了如何使用定制化的技术思想,达到对外挂作弊功能的持续压制。另外议题中还谈及游戏漏洞挖掘的核心思路和方法技巧,游戏开发者自身提升游戏安全性的技术手段,安全防守方定制化方案分析、开发、实现的方法和技巧等内容。相信能给相关工作者带来一定的启发。

廖新喜 - java json 反序列化之殇

随着REST API的流行,Json的使用也越来越多,但是其中存在的安全问题却不容忽视,特别是由于反序列化导致的远程代码执行更是威力十足。虽然反序列化漏洞出来已有一段时间,前期的一些防御方案随着时间的推移不再有效,但是却传播广泛。

在此次看雪峰会演讲中,绿盟科技网络安全攻防实验室安全研究员廖新喜为大家阐述了由Java Json库的反序列化特性导致的RCE,议题内容涉及Gson,Jackson和Fastjson这三个最常用的JSON序列化库的序列化和反序列的操作,并分析其安全机制,从安全机制上发现其潜在的安全漏洞。另外,讲师还公布了部分未公开的反序列化的payload。

陈佳林 - 一石多鸟――击溃全线移动平台浏览器

浏览器早已成为我们日常生活中不可或缺的一部分,这种攻击可以造成大范围的用户信息泄露。一旦被意图不轨者掌握并利用,后果非常严重。针对应用层的攻击频次连年增长,攻击方式更加多元,而越来越多企业的业务又依靠互联网来实现,防止应用层安全失守成为企业不可回避的问题,做好应用层安全也成为厂商和企业不可或缺乃至不可推卸的责任。本次看雪安全开发者峰会,陈佳林从Pegasus间谍软件所披露的漏洞开始谈起,由Webkit中JavaScript内核漏洞出发,通过实验来深入探讨JIT编译器机制,分析漏洞成因,阐述JavaScript内核的堆风水、垃圾回收器及利用方式,综合利用地址泄漏、对象伪造、指针劫持、暴力枚举等技巧,结合堆喷(Heap Spray)和ROP实现过沙盒,完成任意代码执行的漏洞提权。

谢君 - 如何黑掉无人机

最近两年越来越多的安全人员开始投入到 IoT 设备的研究热中,常见的研究方向包括路由器、摄像头、汽车等。此次议题是由阿里安全IoT安全研究团队Leader――谢君为我们带来的如何黑掉无人机,介绍了某品牌无人机的架构体系、功能模块、传感器等,包括各个组件的攻击面、安全防护体系、软硬件反调技术及其绕过方法,并深度解读无线宽带通信等。此外在峰会现场谢君还介绍一个不需要通过软件漏洞就能Root无人机的方法,并演示了如何远程劫持一台无人机。其中就涉及了诸如飞控系统等专业领域的研究。而从最初的设备拆解到各个芯片子系统的深入剖析都展现了演讲者求索与收获的一段心路历程,相信现场很多的听众对于这种钻研态度都是由衷的钦佩,再考虑到目前国内外这方面的公开资料都很少,其中的难度是可想而知。

看雪论坛版主座谈,追忆往昔,眺望未来

论坛版主座谈会

本次峰会,我们有幸邀请到了看雪学院创始人kanxue、中国个人站长第一人高春辉(左二)、看雪版主飞速(左三)、看雪老坛主CCdebuger(右三)、『外文翻译』版主zmworm(右二)、『智能设备』版主gjden(右一),讲述他们与看雪的这十几年的成长史及对互联网安全发展的期望。

看雪论坛各位版主陪伴看雪走过了十几年春秋,共同见证了中国互联网的起起伏伏。在不断发展、前进的互联网安全面前,过去的先驱成为现在的“老人”。他们有些已经淡出了这个圈子,有些继续在圈子里发光发热。在此次峰会上,几位版主再聚首,原来青葱岁月眨眼间已过,但谈起反病毒、软件破解、密码学、算法、智能硬件......他们的热情依旧。谈起网络安全未来的发展,他们见解独到、一针见血。

安全大咖,共话安全

嘉宾座谈

本次峰会,我们有幸邀请到了腾讯玄武实验TK(左一)、梆梆安全CTO陈彪(右一)、百度安全事业部总经理马杰(左二)、奇虎360首席安全官谭晓生(左三)、知道创宇CTO、COO杨冀龙(右三)、众信息(盘古团队) CSO李小军(右二)。本环节由TK主持,各位嘉宾围绕着“IoT与安全”展开了头脑风暴,思想的火花在现场碰撞。

从摄像头到路由器,从智能门锁到智能汽车,物联网犹如一阵旋风迅速席卷全球。而物联网带来的安全问题,范围及数量也扩展至全球范围,永恒之蓝的余震还未消失,针对IoT设备的永恒之红又再次袭来。面对复杂的IoT安全问题,人们似乎束手无策。在这样的一个困境之下,安全该何去何从?

IoT安全领域是一块尚待开发的田野,仍有大片空间有待安全人员去开拓、探索。无论是从技术、商业和资本的角度看,亦或是从国家和政府的角度考虑,IoT安全的维护都需要各方的配合与合作,缺一不可,其中,安全人员与开发人员尤其重要。这条路还很长,仍需努力。

看雪.腾讯TSRC 2017 CTF 秋季赛颁奖典礼

TSRC 林雯为各位选手颁奖

看雪CTF评委、CrackMe版主netwind 发表讲话

历经18天的看雪.TSRC 2017 CTF秋季赛结束,最终攻防双方各角逐出三位获奖选手。攻击方前三名:hotwinter、poyoten、iweizime;防守方前三名:不问年少、ccfer、loudy。其中一、二、三等奖分别获得奖品大疆无人机、小米扫地机器人及斐尔可黑轴机械键盘,奖品均由腾讯安全应急响应中心提供。颁奖典礼现场,由TSRC林雯为选手们颁奖(部分选手未到现场,由代表代为领取)。

峰会现场,干货与奖品齐飞

压轴大奖为Wifi万能钥匙安全应急响应中心提供的MacBook,由知道创宇CTO、COO 杨翼龙为中奖选手颁奖

本次奖品是由Wifi万能钥匙安全应急响应中心提供的4块移动硬盘,梆梆安全CTO陈彪为中奖选手颁奖。

本次奖品是由360提供的行车记录仪,看雪学院创始人段钢为中奖选手颁奖。

峰会现场,特意为大家准备了许多抽奖环节,丰厚奖品由Wifi万能钥匙和360提供。最后的终极大奖为MacBook, 由Wifi 万能钥匙安全应急响应中心赞助,一位幸运观众获此大奖,引发全场掌声。另外,博文视点和华章图书,为现场观众各赠送了50本图书;江民科技为VIP会员提供了充电宝;TSRC为VIP会员提供了高颜值的充电线;高春辉的天特信息为大家提供了下午茶;百度安全为VIP会员提供了精美的晚餐。感谢以上企业对本次峰会抽奖奖品、下午茶及晚餐的大力支持!

现场图锦

现场干货满满,大家都听得十分认真。

现场爆满,座无虚席

大家都听得十分认真

展望

在大家热烈的掌声中,2017看雪安全开发者峰会落下帷幕。

峰会现场,12个技术干货演讲,2场嘉宾访谈,3场抽奖,会场全场爆满,欢笑与干货齐飞。但这不是结束,而是起点。看雪将不忘初心,继续为大家营造一个更好良好的技术交流平台,继续带领大家在安全领域砥砺前行,为互联网安全发展做出贡献。

17年前,看雪论坛成立;

17年后的今天,我们再一次出发。

2018,我们明年见!

看雪学院

看雪学院(www.kanxue.com)是一个专注于PC、移动、智能设备安全研究及逆向工程的开发者社区!成立于2000)年,经历了近二十年的磨砺, 见证了国内安全行业的发展,被誉为安全界的黄埔军校。 它是中国最早的安全工程师交流学习社区, 通过十八年的发展在行业内树立了令人尊敬的专业形象。

查看更多: