使用微信扫一扫分享到朋友圈
使用微信扫一扫进入小程序分享活动
"2018安全开发者峰会"是由拥有18年悠久历史的老牌安全技术社区——看雪学院举办,会议面向开发者、安全人员及高端技术从业人员,是国内开发者与安全人才的年度盛事。
秉承着技术与干货的原则,看雪学院于2017年11月成功举办了第一届安全开发者峰会,议题涵盖了安全编程、软件安全测试、智能设备安全、物联网安全、漏洞挖掘、移动安全、WEB安全、密码学、逆向技术、加密与解密、系统安全等,吸引了业内顶尖的开发者和技术专家,旨在推动软件开发安全的深入交流与分享,为安全人员、软件开发者、广大互联网人士及行业相关人士提供最具价值的交流平台。会议大获成功,受到了梆梆安全、腾讯安全、爱加密、几维安全、百度安全、硬土壳、金山毒霸(猎豹旗下品牌)、乐变技术、腾讯TSRC、Wifi万能钥匙、天特信息、360公司、江民科技、博文视点、华章图书、infoQ、雷锋网等数十家公司和媒体的大力支持和赞助,会场爆满。
商务合作咨询:万先生 13611684418(微信同号)
嘉宾致辞
看雪学院创始人 段钢致辞
《端到端通信中危险的中间盒子:祝福还是诅咒?》
将结合团队近年的研究成果,介绍Web通信中的各种中间盒子存在的安全问题,包括注入广告或恶意内容、泄露用户隐私、缓存污染、大规模拒绝服务攻击等。
《被“幽灵”所困扰的浏览器》
"Spectre" 是一个严重的CPU漏洞,打破了不同应用程序之间的隔离,影响了大部分的主流架构。它允许攻击者欺骗无错程序,且攻击者可以通过缓存来利用这个漏洞,泄漏用户级进程中的敏感数据。大部分公开的攻击,都是本地攻击。如果可以通过浏览器进行漏洞利用,那么对用户的大规模攻击将成为可能。由于浏览器用户量庞大,若攻击成功,结果将不堪设想。
尽管 "Spectre" 漏洞影响了大量的用户,但它能否在实际的攻击中产生危害呢?
本议题将介绍如何在浏览器中利用"Spectre"漏洞,并介绍如何通过JS 触发"Spectre"漏洞并且生成可以稳定刷新缓存的汇编指令。除此之外,还将展现在浏览器中,通过 "Spectre" 漏洞可能造成的实际危害,并讨论相关的缓解措施。
《NLP机器学习模型安全性及实践》
现在AI在各行各业的应用越来越多,但是对于AI模型的安全性研究相对落后。虽然国内外一些安全专家已经有了部分的研究成果,但是现阶段,从业务安全的角度,还没有很多的研究资料。本演讲从AI在自然语言处理领域NLP的实际应用出发,通过实例(国内知名NLP机器人产品),介绍AI问答机器人产品的业务安全问题,试图打破AI和业务安全之间的壁垒,推进AI在行业中的落地应用。
《智能设备漏洞挖掘中几个突破点》
本议题主要针对智能设备固件提取的攻防手段进行了整理和总结。
先对嵌入式系统的软硬件的基础架构做了介绍,然后会详细讲智能设备提取固件的十大方法,涉及到的软件和硬件工具,工具的作用和用法。本议题对智能设备安全研究人员提取固件的常用方法进行梳理, 也对开发者提出了一些安全方面的建议, 避免厂家辛苦开发出的产品、想要保护的固件没有保护好,被轻易提取出固件分析。无论是开发者还是安全爱好者都值得一看。
圆桌会议( IoT 安全)
主持人:王琦
参与嘉宾:谭晓生、陈彪、黄眉、陈洋
抽奖
午餐
《iOS App 安全审计与案例分享》
本议题将会分享盘古实验室在针对iOS平台的App审计的工作过程中应用的技术手法和发现的常见问题。同时结合真实案例详细介绍在App审计过程中发现并利用ZipperDown的技术细节,包括ZipperDown对微博、qq音乐、陌陌等用户数量达到千万级别的APP的影响以及我们在构建ZipperDown完整攻击链的过程中遇到的问题和解决思路。
《TCP的厄运,网络协议侧信道分析及利用》
将首次揭秘GeekPwn 2017硅谷站TCP侧信道的漏洞及利用方法
抽奖
5个小米小爱音箱mini
5个经典款米兔
10个米兔指尖积木
(由小米安全提供)
休息
本议题将介绍php中正常的非危险函数在某些场景下也一样存在安全风险,因为很多开发者认为官方手册的说明和方法应该是最标准的,没有任何问题的,所以就直接拿过来使用。
然而,如果没有认真仔细阅读及测试PHP manual中的使用方法,这些潜在安全风险就会被黑客恶意利用导致安全漏洞,而且这些潜在威胁就存在php官方的php manual当中只是需要你去发现它们,这些看似正常但是存在潜在威胁的函数方法经常会出现在代码审计、CTF挑战、漏洞利用Bypass当中。
《从WPA2四次握手看KRACK密钥重装攻击》
本议题主要围绕2017年年底爆出的WPA2协议的漏洞展开,该漏洞通过WPA2协议在实现四次握手过程中出现的缺陷,
对该过程进行攻击从而导致密钥被重新安装,进而实现通信数据的劫持。
与平时经常爆出的漏洞不同的是,该漏洞属于协议层面,并不针对某一特定型号的设备或产品,因此任何接入WIFI
的设备都有可能受到影响,由于攻击本身并不能获取WIFI密码也不针对WIFI密码,因此定期更换密码并不能抵御此类攻
击,用户可以通过禁用客户端的某些功能来降低针对路由器和AP的攻击风险。
《硬件钱包安全分析》
随着区块链技术的兴起,国内国外出现很多硬件钱包厂家,由于大多厂家对安全理解不到位,出现很多设计架构的一些问题,我们做了相关安全研究。
很多比特币硬件钱包基于手机平台开发(mtk),由于该平台USB接口存在漏洞。 利用该漏洞我们可以对固件修改 ,对手机钱包app修改, 从而打开wifi蓝牙接口。进而完全控制钱包的私钥。最后通过一些演示证明此类钱包的不安全性和脆弱性。
圆桌会议(区块链安全)
主持人:TK
参与嘉宾:万涛(老鹰)、Tony Lee、阎文斌(玩命)、剑心、古河
颁奖盛典
抽奖
礼品(由腾讯TSRC提供)
嘉宾致辞
看雪学院创始人 段钢致辞
《端到端通信中危险的中间盒子:祝福还是诅咒?》
《被“幽灵”所困扰的浏览器》
《NLP机器学习模型安全性及实践》
《智能设备漏洞挖掘中几个突破点》
圆桌会议( IoT 安全)
抽奖
午餐
《iOS App 安全审计与案例分享》
《TCP的厄运,网络协议侧信道分析及利用》
抽奖
休息
《从WPA2四次握手看KRACK密钥重装攻击》
《硬件钱包安全分析》
圆桌会议(区块链安全)
颁奖盛典
抽奖
《智能摄像头漏洞挖掘实战培训》
随着物联网的发展,安防设备的使用也越来越多,特别是摄像头的使用非常广泛,随之而来的摄像头的安全问题也日益凸显,且安全现状不容乐观。
在追求急速发展的同时,质量和安全问题却没有得到很好的保证,很多摄像头都存在各种各样的安全问题。
本课程主要从硬件方面的固件提取、固件解包、二进制逆向、系统后门、系统漏洞挖掘、常规web漏洞挖掘、web源代码审计、web后门,云安全等方面对物联网摄像头(测试8款流行设备)中存在的安全问题进行全方位的分析进行详细介绍。
在方法经验的讲解同时,实际动手进行摄像头的拆解,固件提取分析,漏洞挖掘,真正的从理论到实践。
特色:
由看雪讲师亲自讲授其自创的固件提取方法,可以通杀不同架构的CPU,独到且实用,是提高能力的一把利器!
二位看雪讲师,一位精通固件提取,一位精通Web挖掘,轮番上阵,带给你全方位、最充实的体验!
2018年7月20日 9:00~18:00
注意:
1、本课程需由学员自带笔记本电脑;
2、主办方将为学员提供免费午餐一份;
3、课程赠送给每个学员约500元左右的摄像头及工具包设备。
1、智能设备固件获取方法和实战
2、固件解包常用方法和技巧
3、固件逆向分析常用工具和方法简介
4、智能设备硬件中的漏洞挖掘方法
5、摄像头识别方法和技巧
6、敏感信息收集
7、系统漏洞挖掘
8、协议相关漏洞挖掘
9、Web漏洞挖掘
10、云端业务漏洞挖掘
11、其他经验及技巧
需要对计算机基础知识及网络基础知识有一定的了解,最好熟悉web和系统常规漏洞原理,最主要的是对物联网安全及漏洞挖掘感兴趣。
13种漏洞主题参照OWASP top10,以及各大漏洞提交平台及SRC最常出现的漏洞进行归纳总结。
每个主题按照漏洞原理、漏洞代码分析、测试方法及工具、漏洞防范措施、如何开发出安全的代码,五大详细内容分类来进行深入讲解。
整个课程包含了大量的实际项目案例,通过案例阐述在实际项目中的应用,让开发人员深入理解和学习每种漏洞的原理、测试、预防措施,开发出安全的程序,在开发阶段就杜绝产品的漏洞问题。
2018年7月20日 9:00~18:00
注意:
1、本课程需由学员自带笔记本电脑;
2、主办方将为学员提供免费午餐一份。
1、SQL注入漏洞
2、命令执行
3、代码注入
4、文件上传漏洞
5、文件包含
6、跨站脚本攻击(XSS)
7、跨站请求伪造(CSRF)
8、暴力破解
9、敏感信息泄漏
10、验证码绕过
11、越权
12、支付漏洞
13、密码找回
汤青松 《PHP WEB安全开发实战》作者
2017 Devlink PHP开发者大会 安全话题演讲嘉宾
2017看雪安全开发者峰会 演讲嘉宾
中科院计算所培训中心 “WEB安全开发”课讲师
课程方向:安卓底层和内核高级分析
2018年7月20日 9:00~18:00
注意:
1、本课程需由学员自带笔记本电脑;
2、主办方将赠送一部手机用于学习;
3、主办方将为学员提供免费午餐一份;
4、课程所需硬件设备由主办方提供。
此次训练营将公开分析两个重要的漏洞(CVE-2017-0403 、CVE-2017-8890)的利用细节,还有最新系统内核一些常见的保护绕过方式,并深入浅出的带领大家学习如何挖掘漏洞、如何分析内核,带大家走进Android漏洞的世界,帮助大家构建一个学习Android漏洞的系统体系。
虽然Android技术迭代频繁,但底层高级分析技术变化却比较慢。从二进制基础到复杂的So分析原理和漏洞,学会这些内容,不仅仅是找工作的敲门砖,更是突破Android进阶的瓶颈期的有力武器,本次训练营均会讲到,请大家拭目以待!
课程目录:
1、arm汇编与so文件格式
2、so多种native hook源码分析与设计
3、so文件源码解析加载装载原理和修复
4、解包内核固件并分析内核二进制
5、内核调试方法
6、通过 crash log 定位内核异常
7、常见内核漏洞类型
8、内核缓解措施
9、缓解措施的绕过技巧
10、Root 提权中常用技巧
11、内核 heapspray 的多种方式
12、两个 Root 提权的 CVE 实例讲解
12大议题、2场座谈、3场抽奖、超过500人会议现场,
一个满载技术干货与厚重情怀的看雪2017安全开发者峰会在11月18号举行,
会场全场爆满,欢笑与干货齐飞。
bbs.pediy.com/thread-222827.htm