乌云峰会：一场白帽子的盛会(day 2)

白色是最纯粹的颜色，没有一丝杂色，哪怕是掉在上面一粒灰点也能立马呈现，所以白色的世界里不允许有半点污点。

 

昨天，乌云大会分论坛的最后一个环节讨论了近期发生的一件大事——世纪佳缘事件。

来自中科院软件研究所的研究员丁丽萍、江苏省公安部网络安全专家童瀛、中国互联网协会信用评价中心法律顾问赵占领、知名互联网公司首席安全官陈洋、乌云创始人方小顿、乌云核心白帽子张瑞东、TK教主、安全牛主编李少鹏参与了该环节的讨论。

 

大家就白帽子以后如何去做测试，如何才能不逾越法律红线进行了激烈的讨论。

TK教主表示，常在河边走很容易就湿鞋，但如果你熟知法律边界，知道有一条不可触碰的高压线摆在那，你就可以做到常在河堤走，永远不湿鞋。

 

其实世纪佳缘事件并没有打击白帽子们的积极性，不信请看今天白帽子们的热情。

一个只影响有钱人的漏洞

 

7月9日，乌云大会go on，首先出场的是乌云排行第一的白帽子猪猪侠，技术至深的他早已红遍安全圈，今天他带来的也是纯粹的技术干货。

旧时代把人的身份分为了三六九等，最上层无疑是地位最高、相对富裕的人士，今天猪猪侠特意找了一个只影响有钱人的漏洞——SSRF。SSRF 是ServerSide Request Forgery 的简写，允许 Web Interface 请求受保护网络内的资源。

现场猪猪侠详细介绍了16种SSRF利用姿势，全是一般人想不到、并且触手可用的技能。

 

这个议题对于不懂技术的人员来说，如同在听天书；但是对于技术爱好者而言，绝对是醍醐灌顶的洗礼。

未知攻，焉知防？

 

三好学生& Evi1cg分享了后渗透阶段的攻防对抗，将渗透过程形象描述成：

1.     打开一扇窗

2.     绕过看门狗

3.     我来做主人

4.     屋里有什么

5.     挖一个密道

6.     我来抓住你

拥有各种奇技淫巧、猥琐姿势的三好学生和 Evi1cg还分享一个全新的攻击技术——无文件攻击方法，它可以绕过终端防护手段。具体的绕过方法有：Powershell、js、mshta、sct、wsc。

天外飘来的声音

 

这是一个神秘时刻，没人知道接下来这位演讲者是谁，来自哪里，也不知道下一秒他会做什么。唯一知道他的声音很性感，他是众多路人甲中的一员！

 

PPT上赫然显示了几个大字：黑产是什么？相信很多人都能立马回答出，黑产就是盗号、倒卖数据库、盗刷银行卡等。传统的盗刷银行卡需要知道受害者银行卡号、密码、手机验证码，但是新式攻击手法已经不需要这些，他们只需要受害者手机号、姓名、一台电脑，几部手机即可搞定一切！

 

神秘来客现场演示了黑产操作，盗刷别人银行卡，并且表示如果他愿意，可以分分钟转走绵羊墙上滚动出现的用户银行卡中的所有存款。现场参会人员直呼警察叔叔快来抓人，这个人是做黑产的！

还记得XcodeGhost吗？

去年，苹果官方放出了一个数据，全球已经卖出10亿iOS设备。苹果设备之所以那么畅销，不仅仅是大家觉得拿着苹果显得逼格高，还有一个原因是我们普遍认为它比较安全。今天来自阿里团队的安全工程师蒸米会告诉你，苹果设备并没有比安卓设备安全！比如去年9月份发生的XcodeGhost事件，即便是没有越狱的苹果设备同样可能会感染病毒！

江湖二哥实力认证

无声信息技术成员里女粉丝最多的乌云白帽子 gainover ，江湖人称二哥，也是一位跨行业的高手，他曾经是一位生物研究工作者。此次分享的是 《Play with pseudo-Protocols》。

伪协议在一些客户端软件中被广泛使用，用以提供一些便捷的功能。然而，设计上的考虑不周或应用自身缺陷往往会使得伪协议成为攻击的入口点，二哥 gainover 带着若干实际案例来与大家聊一聊与伪协议有关的客户端应用安全问题。

小时候还蛮好看的呆子不开口

一言不合就扔了个message，一句不说就发了一张北京实时路况图！

 

乌云平台知名白帽子呆子不开口张口就是段子，幽默诙谐的风格很招大家喜爱。不要以为他只会讲段子，事实上，他讲起技术来更是技高一筹。今天他主要讲了一个postmessage 相关安全问题，可能会导致被xss、信息泄露、账户劫持等。

如果他给你发了一个message，你可要三思而后行，不要随意点开，一不小心他就进入了你的微博后台，或者拿到了你家的地理位置。

 

这真的不是在国外

 

相信大多数的白帽子都有一个困惑，花了一个通宵挖出一个漏洞，赶紧提交给厂商，但是却被告知已经有人提交了，也就是说一夜的功夫白费了。

 

越洋而来的日本白帽子Muneaki Nishimura给大家分享了一些有效规避这种状况的方法，白帽子们可以利用这些技巧在最短时间挖最高质量的洞，从而拿到最高的漏洞奖金。

技巧：

1. 寻找Web平台上的漏洞

2. 在预览版中寻找漏洞

3. 在子产品中寻找漏洞

 

来自美国的ZDI公司的两位安全研究员Jasiel& Abdul讲解了近几年的漏洞发展趋势。安全研究员找到漏洞之后会怎样处理呢，一种方式是放到黑市上去卖，一种方式是在灰市上买卖，当然还有一种方式就是提交给漏洞平台。

 

谁说女子不如男

 

宝岛台湾的Hitcon girls创始人用自己实际行动证明了女生也可以和男生争饭碗，被质疑，被轻视，不要紧，勇敢迈出第一步就已经成功了！

 

上海交通大学密码学与计算机安全实验室的博士生刘慧分享了其对密码学的深入研究，让在坐的众多男生也赞叹不已！

 

截止至7月9日17点30分，最后一个议题结束，本届乌云大会也到了尾声。参会的小伙伴们个个是满载而归，收获了足足的干货。

 

技术还在，初心未远！乌云大会，我们明年见！

 

Wooyun峰会2016PPT下载：

 

一、呆子不开口-对方不想说话并扔了个message

二、猪猪侠-Build Your SSRF Exploit Framework SSRF 漏洞自动化利用

wooyun2016-不插电 PPT链接:

wooyun2016-不插电视频：

wooyun2015白帽子大会录音+ppt照片.rar

 

【原文：乌云大会：一场白帽子的盛会(day 2)  作者：RoarTalk  安全脉搏整理发布】

 

本文作者：嘶吼RoarTalk

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/48515.html