脉搏手记|先知让攻防实战更纯粹

2018-06-17 8,968

相信大家一定没有忘记安全脉搏的联合推送《活动指南 | 2018先知白帽大会,其中有5位同学在脉搏公众号获得了免审核的门票机会和大会现场Tshirt,这样的福利你们千万别再错过。


4.jpg

16号早上,安全脉搏的小编们早早的就来到会议酒店,期待着新的一届先知大会的开启。

 

3.jpg 

如果说上一届的阿里云先知大会的精髓是“让安全更温暖”,第二届大会小编自我领悟的是“让安全更纯粹”。看到下面的会议时间Agenda,就能看出来了,满满的干货。


x1.png


2018先知白帽大会全程以“白帽子”为中心,内容主要聚焦在“攻与防”的技术践行之上,大会邀请了12位当前安全领域的佼佼者,为大家带来最新的「安全技术成果」和「实战经验」分享。


5.jpg

现场500-600人座无虚席,大家学习真知识的热情犹如信仰般坚定而朴实,让小编着实感动不已。


道哥、猪猪侠 开场白

7.jpg

我们熟悉又亲切的道哥吴翰清在开场白中阐述了他一直秉承的安全事业观,安全不仅仅是保护企业、保护数据,更要是研究对抗,真实的跟黑产对抗,而现在很多安全公司其实已经有点走偏。

此次带着“阿里巴巴上海城市大脑负责人”的头衔,跟他钻研17多年的安全是相符的,他正在解决使用算力和数据提供真正智能的城市大脑,这或许就是21世纪从“煤油灯”到“电灯”的革命。

道哥也深深的寄望了白帽子们能天马行空,不给自己设限,也希望更多的人能投身到安全研究、真正智能研究上;道哥站在非常高层次视角和境界的鼓励让在座的安全研究员们兴奋不已。

 

8.jpg

然后是猪猪侠同学介绍了这一年,先知平台众测模块的成绩:15000+高危漏洞,为企业间接避免了15亿的损失。

并带来了先知新的规划:

1、先知通用漏洞计划(严重漏洞价值飞升)

 2、先知红队成立(与阿里专家联合组队)

 3、先知众测101攻略计划(众测技巧脱敏沉淀分享)

也是实实在在给安全行业带来正向利好的行动,安全脉搏的小编们很看好,后续也会有深度合作。


菜丝   <macOs上的逻辑提权漏洞>

9.jpg

10.jpg

第一个分享嘉宾是来自蚂蚁金服光年实验室的高级工程师,讲解了很多在macOs上通过多个逻辑漏洞实现权限提升的突破,甚至是当场提供了一些半0day:Ms Office for mac 2016 本地权限提升,

Safari沙箱内纯逻辑弹计算器,SamplingTools SIP绕过。


可能是这块目前研究的同学还不是特别多,所以大家更多的是仰望,理解需要一定的时间。

11.jpg


redrain <供应链攻击前餐--弑君者Kingslayer>


12.jpg

网红redrain介绍自己加入360-cert之后一直致力于互联网上游应急响应、网络攻防研究和恶意软件分析。

从最基础开发环境污染(如xCodeGhost、xShellGhost),恶意插件、第三方库(Package Phishing、WordPress Plugin Keylogger),可抵赖后门,预留后门,捆绑后门等详细的可能攻击面介绍了

供应链安全的重要性,可想而知,上游的供应链都是有安全问题的,下游的河水还能喝吗?

在Drawing Sword分析中,他最终逆向分析研究下来 Schoolbell跟多起安全行为同出一辙,里面有着深深不敢告人的秘密。


x2.png

石肖雄 —— 代码审计点线面实战2018

13.jpg

jk比较夯实而且乐于分享,一上来就介绍代码审计里面的各种类型注入和XXE如何去发掘,也重点提及了普元EOS开放框架的一些接口重大安全问题,

在第三部分提醒大家注意各种漏洞的jar包(如fastjson.jar,axis.jar)等等,另外jk特别拉来axis1、axis2、xfire,CXF、hessian等webservice滥用问题说明。

整个PPT和分享就是快速的吐干货,会后还快速的提供了小编一份PPT,真是很乐于分享的同学。要PPT的文章末尾留言。

14.jpg


Kevin2600 <边信道攻击实战>


旺财牛也是早期就开始玩RFID和硬件Hack的高端选手,本次带来的边信道攻击实战中,

Kevin2600制作了多个视频直接演示了电磁泄露隐患、时序攻击、毛刺注入Glitch,最后的总结非常到位:100%安全的系统并不存在。

15.jpg

x3.png

x4.png


Orange Tsai  《从一个脆弱点到串起整个攻击链》

 

x5.png

Orange小哥哥的演讲略含一点点台湾腔,但是用词和专业术语拿捏非常到位,可能是本次会议中最能把议题阐述清晰到大家都能听懂的嘉宾了。Orange的学习进阶之路可谓励志非常:2008-2014年度期间他定位在“渗透师”,在2014-2017年度成为CTF电竞选手,也是这个时候学习逆向和阅读php等源码,2017年后自己在深度学习,定位在“研究员”。

本次议题中,引用2个案例(Spring Framework 0day - CVE-2018-1271Bynder远程代码执行),很好的表达了<路径解析上的不一致>导致的漏洞。

x6.png

忍不住 再放一张小哥哥照片:明明可以靠颜值,偏偏要才华领先世人那么多。

16.jpg

 

Phith0n  <攻击GraphQL>


x7.png

P的议题比较简洁,给我们清晰的对比了传统的SQL语法和GraphQL语法的查询、更新方式,指出了如果不正确使用会导致:敏感信息泄露与越权,前端安全漏洞(如CSRF,Clickjacking等),GraphQL注入漏洞,Debug模式下的信息泄露。

x8.png

x9.png


廖新喜  <Java反序列化实战>

x10.png

新喜从反序列化入门(序列化和反序列化简介、存储格式、使用场景、反序列化项目等)

然后重点讲解Fastjson和weblogic的颈椎突出,各种版本的修复被绕过,导致官方都没有信心继续维护更新了。

最后提到了他认为的反序列的防御方案(如过滤T3协议,使用Nginx反向代理,JEP290等)。


x11.png

x12.png


白小龙&蒸米 <如何利用Ryuk分析和挖掘macOS&iOS内核驱动漏洞>

18.jpg

两位在macOS和iOS上有很高建树的同学,不仅仅分享了发现的漏洞,也授人以渔的提供了Ryuk开源工具给研究者造福。

x14.png

x15.png


隐形人真忙 <智能合约消息调用攻防>

x16.png

面对如今大火的区块链安全,百度工程师隐形人真忙分了4点介绍了智能合约消息调用安全攻防:1、以太坊架构与攻击面介绍 2、EVM消息调用原理剖析 3、消息调用攻防

4、议题总结。

19.jpg


cdxy <从数据视角探索安全威胁>


21.jpg

数据安全一直是个大话题,看cdxy如何从数据视角探索到安全威胁和分析。


猪猪侠 <WEB 2.0启发式爬虫实战>


22.jpg

web爬虫是扫描产品的排头兵,一个优秀的爬虫可以使得一个漏洞扫描产品成本了一半。猪猪侠在阿里为期大半年带队研究商业漏洞扫描的后给我们带来了WEB2.0动态爬虫:基于无界面浏览器。

(Chromium-->puppeteer-->pyppeteer)

23.jpg

2018第二届先知白帽大会的议题个个都是干货,小哥哥们长的又好看,又有才华,声音还那么好听,小编我超喜欢这里的。

有需要大会PPT的请留言,我们会整理并且与先知官方同步PPT。


xianzhi2018.png

石肖雄 —— 代码审计点线面实战2018 PPT:
链接: https://pan.baidu.com/s/1-tpqRqbMNE-dWbirSD5atQ 密码: 4syz


廖新喜  <Java反序列化实战>

链接: https://pan.baidu.com/s/1uOfbZJQTToia2T4Vx4LnMQ 密码: t943


时间 演讲者 议题
9:30-10:00 猪猪侠 先知白帽大会-开场演讲_猪猪侠
10:00-10:30 菜丝 macOS 上的逻辑提权漏洞_菜丝.pdf
10:30-11:00 redrain 弑君者Kingslayer-供应链攻击前餐_redrain.pdf
11:00-11:30 jkgh006 代码审计点线面实战_jkgh006.pdf
11:30-12:00 KEVIN2600 边信道攻击_Kevin2600.pdf
13:30-14:00 Orange Tsai 從一個脆弱點到整個攻擊鏈_Orange+Tsai.pdf
14:00-14:30 phithon 攻击GraphQL_phithon.pdf
14:30-15:00 廖新喜 Java反序列化实战_廖新喜.pdf
15:00-15:30 隐形人真忙 智能合约消息调用攻防_隐形人很忙.pdf
15:30-16:00 cdxy 从数据视角探索安全威胁_cdxy.pdf
16:00-16:30 猪猪侠 WEB2.0启发式爬虫实战_猪猪侠.pdf
16:30-17:00 白小龙&蒸米 如何利用Ryuk分析和挖掘macOS&iOS内核驱动漏洞_白小龙&蒸米.pdf

打包下载
2018先知白帽大会-议题压缩包.zip


Tags:
评论  (10)
快来写下你的想法吧!

安识科技

文章数:21 积分: 43

安识科技:专业的企业安全解决方案提供商。官网:https://www.duoyinsu.com/

关注我们