1月13日，滴滴出行安全应急响应中心（DSRC）召开了首届滴滴安全沙龙。当天天气晴朗，四面八方的安全人士齐聚滴滴世界咖啡厅，畅聊天下安全事。现在让我们回顾下都有哪些精彩分享~

1、玩转生活中的hack

来自百度的高级安全工程师小灰灰为大家分享了议题《玩转生活中的hack》，他给大家分享了如何破解掉生活中的各种电子设备，包括如何伪造GPS信号、破解生活中各种形态的智能卡、如何静悄悄的截获到任意手机的运营商流量等等。这些分享，不仅增强了大家对安全研究的兴趣，同时结合业务层面，让大家对这些攻击风险有了些提前布局的考虑。

2、App攻与防

来自滴滴安全的付超红为大家分享了议题《APP攻与防》，端上各种作弊器工具花样繁多，技术手段多变。要控制来自端上的各种作弊行为，超红认为需要做好几点工作：首先需要做到知己知彼，搞清楚作弊器工作的技术原理；然后要做好数据的多样化、多维度、多渠道，数据之间可以交叉验证；最后，整个反作弊系统要高度自动化，需要人工干预的工作尽量收敛和统一。

3、拉勾自动化安全0-1

拉勾安全团队负责人Smarttang分享了议题《拉勾自动化安全0-1》，他表示：“安全这块的自动化完全是根据业务的特性进行定制化的安全建设，最早期更多是用工具满足需求，到中后期，演化相应的平台、工具链条，建立完整的安全框架满足研发、运维对安全的期望，不断的完善拉勾网的安全自动化体系，建立可持续化的安全，为拉勾网的整体业务打下坚实的安全基础。”

4、安全情报与攻防对抗

NUKE为大家分享了议题《安全情报与攻防对抗》，他提到：“攻防对抗在战略上是人的对抗，但在战术上是机器的对抗。人的资源从全局来说一定是不足的，必需要依靠设备来进行防护，而情报是打通人和设备的最好方式。安全情报在攻防对抗的应用可以有效的提高分析效率，提升发现能力，缩短响应速度。”

5、图像欺诈和反欺诈

来自滴滴安全的张天明为大家分享了议题《图像欺诈和反欺诈》，他介绍了图像反作弊反欺诈涉及的问题，包括图像(包括证件、头像等)伪造的识别、图像信息校验、人脸识别和反欺诈等，基础的图像处理、OCR技术、图像搜索技术、深度学习等技术。

他说：“掌握这些技术能帮助我们更加高效更加精准地识别作弊和欺诈行为。随着机器学习特别是深度学习技术的发展，加上大公司在数据资源上的优势，模型的判断也在很多指标上超过人类。图像反作弊反欺诈也能在高召回基础上，做好用户体验。”

6、互联网企业的蓝军

腾讯安全应急响应中心（TSRC）负责人Flyh4t为大家分享了议题《互联网企业的蓝军》，他介绍了大型互联网公司红蓝对抗工作的一些思路和实践。蓝军团队的主要工作包括对核心业务的主要威胁场景模拟完整的黑客攻击、对企业整体防御体系和监控策略进行逃逸攻击。通过实战反向验证安全体系的防御水平，合理化安全建设工作的排序，提升安全团队的实战能力。

7、浅谈业务逻辑安全

滴滴安全首席白帽土夫子为大家分享了议题《浅谈业务逻辑安全》，他认为：“业务逻辑漏洞近几年爆发增长，造成这一现象的原因是由于公司业务高速发展，代码迭代较快，程序员没有更多的时间去review代码逻辑。业务逻辑漏洞不同于sql注入、xss这些，不太适用自动化场景防护，多数漏洞发现需要人为手工测试。倘若程序代码在更新前，对业务逻辑请求做到逐条审查，再多异想一些非正常访问场景（如更改url中的请求参数），业务逻辑漏洞出现就能大幅度下降。”

8、Pwn2Own’16 中的 Windows本地提权漏洞

来自滴滴安全的王宇为大家分享了议题《Pwn2Own’16 中的 Windows本地提权漏洞》，他说：“近几年在Pwn2Own这个国际舞台上，中国安全团队大放异彩。随着漏洞对抗难度的加深，想要赢得比赛需要参赛者具备扎实的基本功和天马行空般的创造力。研究者一旦拥有了这样的能力，再结合举一反三就会发现安全研究存在大量的共通点 —— 从安卓系统 Root、iPhone 越狱甚至是到无人驾驶汽车的攻防，太多的领域等待着我们去发现、去创造。”

9、安全研究者的自我修养

腾讯玄武实验室负责人TK现场传授了成为安全大牛的秘诀，他表示：“我之前搬了很多年的砖，很多技术朋友都想寻求快速成长方法，但在安全技术领域真的能做事情的，一定是搬过砖的，最重要的修养就是不能怕搬砖。此外，当前信息安全界的知识已经呈现爆炸状态，不错过各种新的东西非常重要，要能从别人的研究中获得启发。”

10、滴滴安全回顾和展望

滴滴信息安全战略副总裁弓峰敏，回顾过去一年滴滴在安全方面的技术实现，他说：“‘三证验真’、‘人像认证’及‘车型一致’等等安全产品背后，都是滴滴安全部门在提供技术支持。我们开发了一个系统，对司机身份、证件的背景进行调查，这是预防举措；接下来，在行车过程中，会及时检测到不安全的状况，以判断是否有安全隐患；第三步是通过我们的系统来干预风险，及时提供必要的帮助；此外，我们在司机和乘客的安全教育方面也做了很多事情，比如提醒系好安全带，我们也通过技术手段来检测这样的行为。”

11、风雨同舟感谢有你

滴滴安全平台高级总监封朋成，现场对一直以来支持DSRC的厂商和白帽们表达了感恩之情，滴滴安全扬帆起航，离不开各方友人的帮助和支持。朋成现场颁发了致腾讯安全的锦旗，感谢腾讯安全对滴滴安全的鼎力支持和帮助，一幅锦旗“风雨同舟感谢有你，鼎力相助共建安全”献给腾讯安全。

2015年11月DSRC成立至今，这一路走来，感谢各位朋友的支持和鼓励。正是因为有你一路相伴，滴滴安全才能扬帆起航。岁月增，水长流，情怀愈加深，朋友们让我们来年再聚！‘

作者： 滴滴安全应急响应中心