乌云峰会札记(有图有真相)
作者:星期二, 九月 16, 20140

前言

2014年9月12日,国内最大的漏洞报告平台wooyun.org在北京中关村皇冠假日酒店召开首届乌云峰会。安全牛作为峰会的合作媒体,全程参与峰会,并采(dā)访(shàn)了数位峰会中的大神、大牛,当然还有美女之后得成此文。(注:文中演讲内容只是简要介绍,具体详细猛料,关注“信息安全知识”,敬请期待)

正文开始

首先是白(hēi)帽(kè)美女肉肉出场主持会议并宣布会议开始。肉肉坦诚这是第一次上台主持会议,本不想来,但抵不住乌云老大方小顿100个乌币的诱惑,只好咬(chū)牙(mài)出(sè)场(xiàng)。肉肉先请大家原谅她的紧张和口误,然后表示本次会议没有商业议题,全是干货,不会让大家失望。接着在会场一片寂静的氛围中强行索要了掌声,至此会议正式开始。

第一个出场的是乌云联合创始人孟卓,乌云ID疯狗。他先是为大家介绍了一下出席会议的一个特殊群体,小白帽子的家长们。因为新一代做安全网络的人年龄非常小,还未成年,大老远的来北京爸妈不放心,所以陪着过来了。

虽然孟卓的演讲题目为《2014年 十大最新安全风险解析》,但他实际主要讲的是乌云平台的建立和发展历程,以及如何为企业为社会做好安全服务,如何改善和提高白帽子的研究环境。最后他强调 了一下本次会议与其他会议的不同之处,那就是“场里捞”――通过硬软件设备监听皇冠假日酒店及附近范围的手机通讯,并把监听到的内容发送到会议现场显示乌 云官方IRC大屏幕上。

第二个出场的是livers,他的演讲主题是智能家居。Livers不善言谈讲起话来磕磕绊绊,好在他没有过多废话,直奔破解智能设备的过程。先用视频演示了远程控制智能插座,后又详细解说了破解某数字企业的智能路由器破解过程,最后还讲了遥控门铃、偷拍录像、控制灯光、空调、电视机、蓝牙设备等智能家居的破解关键点。

几乎80%的智能家居使用的315、433MHz频段的2262协议,安全性非常之差,破解后可以用来控制门铃、电灯,直至实现远程控制整个大楼。

肉肉第二次要掌声之后,人称二哥的生物博士(búwùzhèngyè)gainover上场为大家带来《从一个被忽略的漏洞到XSS僵尸网络》。

二哥的爆料也灰常猛,包括之前利用某狐视频漏洞发动巨大量级的访问(全球最大跨站DDoS攻击主角现身:搜狐视频爆XSS漏洞变身DDoS怪兽),利用某克的评论插件让李开复中招,在演示完中招用户看所有视频网站都会执行恶意代码的时候,观众明显受到了震撼。(安全牛可不会告诉你某酷的XSS问题依然存在)

之后二哥继续爆料,用户打开过恶意链接后,即使在安全控件开启状态下,登录京东或淘宝,账户和口令会立即自动发送给黑客。

 

在二哥激起了一个小高潮之后,登场的是RAYH4c,乌云ID茄子。茄子是360的资深安全攻城狮,主攻移动安全,他今天带来的议题是《安卓组件WebView的那些神洞》。对安卓系统有所了解的人知道,安卓系统上的新浪微博、QQ都使用webview组件,但由于“google的非常不负责任”, 4.4版本的都存在UXSS漏洞。(茄子在场下告诉安全牛君,他绝对不会用安卓手机,太不安全啦!)

Google等于是在APP里,内置了远程代码执行漏洞,但Google只修复了chrome APP,一直到4.4.4才彻底修复其他APP中的漏洞。茄子当场演示了粗粮的远程执行漏洞,用内置浏览器打开网页,拿到手机的root权限。另外还演示了拿到微信APP的权限,远程控制手机打电话。当然,微信能做的事,都可以远程控制去做,大家自行脑补吧。

侃侃而谈的茄子赢得了肉肉强行索要的第三次掌声。然后,然后就午餐了。

午餐时间,来点儿花絮吧,亮点自己找

监听设备

13岁的小白帽和某美女

下午场开始。

神秘嘉宾,被肉肉称为乌云平台上最帅的白帽子,猪猪侠出场。猪侠开始没多久就给大家讲了一套三字经。

然 后,就开始大讲特讲分布式自动化扫描工具。其特点有模块化、高可扩展、系统、服务、组件指纹标准化入库、高覆盖率、重新定义网络边界……这么说吧,设置好 参数一点鼠标,你等着被黑掉的服务器都到碗里来吧!猪侠现场算了一笔账,扫描全世界的互联网大约需要16万人民币的成本。但是如果使用肉机的话,成本就 会…… 你懂得。

收集来的10亿密码,中国特色

 

密码问题之后,是各种入侵案例。有某刷钱的,最有钱的,某衙门的,某电信的,某里、某油、某酷、某豆的……猪侠总结了世界只有四种人:1. 被黑过;2. 不知道自己被黑过;3.不承认被黑过;4. 正在被黑。过于敏感,图就忍痛不上了。

此时场内观众达到拥挤状态,站着的人到处都是,并已无需肉肉强行索要掌声,到达了本次会议的最高潮。

猪猪侠

劲爆内容之后,轮到极路由技术副总康晓宁上场。康神带来的议题与Livers有点类似,他讲智能路由器。

康神为人低调谦和,上来就说“乌云邀请我演讲的时候,我觉得我这不是羊入狼群吗?但乌云说作为厂商的代表,还是应该出现。这样的话,让大家知道企业都在想什么,都在做什么,为什么会报出那么多奇怪漏洞,你们也不修什么之类的问题。”

康神的主要演讲内容是围绕为什么路由器会出各种各样的问题,以及不同的企业(其实就两种,一种是有良心的,一种没有)是如何解决的。原因有两种,一种是成本问题,一种是不负责任问题(说到底还是成本的问题)

康 神之后是百度云安全首席架构师王宇,他带来的议题是站在厂商的角度怎么想一些漏洞问题。 王宇也念了几句三字经:未知攻,焉知防;先定性,再干活;正确的评估你对手的水平;大胆猜测,小心求证;跳出纯粹的技术对抗的圈子,以解决问题优先。王宇 还是站在共享的角度,推荐了几本书:《恶意软件分析诀窍与工具箱》(据称奇淫技巧很多)、《恶意代码取证》、《应急响应&计算机司法鉴定》和《计 算机取证》。

接下来是LBE安全大师CEO张勇,他讲的是移动软件的安全加固。由于非常(guóyú)技术,并且占用了几乎两倍的演讲时间,与会听众的积极性有些低落。同时,也让美女速记头疼不已。

快钱包的创始人张健演讲能力颇佳,但可惜一是在场观众对比特币安全的关注很少,二是被张总占用了不少时间,稍显匆忙的完成比特币的知识普及快钱的安全特性(顺便做了一个小广告)之后,把时间交给了梆梆安全的CTO陈彪。

做为最后一位出场的主讲人,陈总讲的是金融客户端安全风险分析。先是举了几个案例,然后给出了解决方案,最后做出了总结,演讲条理十分清楚,也未耽误大家的时间。

最最后,乌云老大方小顿,ID剑心出场做总结。因知道大家急着吃饭去酒吧,他的总结十分简短,安全牛君给概括了一下:1.国内安全最大的问题是封闭;2.国内的安全问题很严重(tàilàn);3.反感企业现场挖人;4.乌云以后会多做开放性活动;5.大家喝酒去吧!

好了,这篇乌云峰会札记(liú shǔi zhàng)到此结束了,下面是结束花絮:

安全牛君采访(dāshàn)美女白帽子肉肉

安全牛:你的安全研究方向是什么?

肉肉:研究过一段时间的逆向,现在主攻web安全,还会开锁。(安全牛评:俗称配钥匙的。)

安全牛:女生做安全工作与男生相比有哪些不同?

肉肉:我觉得差别不大,女生也可以有很强的逻辑思维。只是女孩子真不能老是熬夜。毕竟伦家还算是一个爱美的女孩子,比较在意黑眼圈。

安全牛:最满意自己的是哪一件事?

肉 肉:自己坚持把《乌云月爆》写下来了……最开始的时候真的好困难,大二才开始学web安全的,之前一直在学逆向,那个时候好多东西都不知道,有些漏洞都看 不懂可是没办法我得写月报所以必须看懂乌云上的每一个漏洞,不懂的就百度,有时候甚至为了看懂一个漏洞得看上半天资料,但是我坚持下来了,而且月报也得到 了一些人也就是我崇拜的那些安全大牛的肯定,那是一种无比的幸福!

安全牛:最欣赏的安全大牛是哪位?(全球范围)

肉肉:最欣赏的安全大牛是剑心,虽然剑心的技术在全球范围来说可能算不上顶尖,但是他是一个有梦想,又把梦想做成了事业的人,他和乌云真的给国内做安全的人带来了很多机会,这也是为什么我那么喜欢乌云的原因。(安全牛评:明显是在拍啊!100乌币就那么诱惑么?)

安全牛:给安全牛祝个词吧。

肉肉:祝安全牛越来越牛!(安全牛评:靠谱!)

福利来啦!

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章