满满干货不负等候 KCon 2018议题发布
|
跟着微博等新兴媒体的快速成长，短链接开始大面积应用到互联网的各个规模之中。据不完全统计，行使了第三方或自身提供的短链接处事的厂商占到了80%。可是另一方面，短链接的安详题目却一向被用户和厂商所忽视。本议题首要从进攻者角度入手，体系先容短链策应用的常见算法、操作场景，进攻伎俩等，而且罗列有短毗连营业的互联网企业的现实安详题目，理论接洽现实为企业的短毗连营业提出行之有用的防止要领。 10、怎样优雅的得到ARM固件的装载基址? 朱瑞瑾 博士，现就职于中国信息安详测评中心，曾参加国度863项目、国度重点研发打算等多项科研项目。 当对固件举办反汇编时，起主要确定固件的装载基址，但今朝尚无自动化要领用于定位固件的装载基址。无装载基址时，反汇编器材(如IDA Pro)无法成立有用的交错引用。 鉴于今朝大部门嵌入式体系中的处理赏罚器为ARM范例，本人以ARM固件为研究方针，提出了两种自动化要领，别离操作二进制函数编码纪律、字符串存储纪律及其加载方法，计较出正确的装载基址。 11、Attacking Kerberos n1nty@360 A-TEAM 360 企业安详团体安详研究员 Kerberos, Windows 域情形下默认的身份验证协议。本次议题带你全面走进 Kerberos 的三种子协议以及针对这三种子协议的进攻伎俩。 12、BGP安详之殇 张玉兵 360企业安详团体--360威胁谍报中心 高级安详研究员、资深攻防专家、安详攻防研究团队认真人 从2003到2018年，环球呈现了数十原由为BGP自身安详缺陷造成的知名重大安详事情。本议题从 BGP 协议基本入手，从攻防角度及当前安详近况由浅入深慢慢分解 BGPv4 协议信赖机制(confidence mechanism)、Special-Prefix、AS_PATH、TTL adjustment 等属性存在的安详缺陷引入的安详进攻题目;站在进攻者角度团结实际环境举办BGP路由安详缺陷的操作，现场通过演示情形模仿/视频演示完成 MITM、DOS、DDOS 和进攻陈迹潜匿等能力。 并以防止者的视角针对以上进攻从多维度用差异的要领举办检测和有用防止举办研究分享。最后，团结近期势力巨子机构暴出的 NSA 监控项目与 BGP 安详题目，深度分解其千丝万缕的因果相关。但愿再次引起海内相干行业对 BGP 有足够的重视和防护改造。 13、Hacking you without password 泳少@YongShao 收集尖刀焦点成员，摩拜单车安详工程师，安详研究员 首要报告在当今oauth2.0大部门厂商会遗留的题目，导致受害者点击进攻者链接看似正常的登岸进程却在从中蒙受进攻者窃取token，从而导致进攻者能无需暗码的环境登岸受害者账户从而举办一系列操纵。以及bypass白名单和白名单中怎样蒙受进攻的。同时还会将分享多个案例，个中包括某款IM产物以及Jetbrains旗下team work的通用题目以及怎样修复该相同的题目。 14、智能合约开拓中的安详SDLC实践 Pavlo Radchuk Hacken 应用安详工程师 演讲将涉及安详 SDLC 实践在智能合约开拓中的合用性。 比起约莫5000万行代码的 windows 来说，可以用100行代码构成的智能合约的局限要小得多。然而，比起一个 PC 来说，1个 ICO 智能合约风险峻高得多。 智能合约变得越来越伟大，我们必定有些条约可以通过安详 SDLC 的一些实践使条约更安详并将风险降至最低。 (以上内容为笔者翻译) 15、动态审计Python代码 聂心明 n0tr00t 团队成员，亚信安详开拓工程师 操作 python 说话的特征，hook python 中伤害的函数，把进入到伤害函数中的要害参数打印到日记中，操作fuzzing的要领，辅佐代码审计职员能快速发明 python 措施中诸如呼吁执行，sqli，xss 等裂痕，从而进步代码审计服从。 16、射频进攻—从键盘钩子木马到无线键鼠套装挟制 石冰 本科信息安详专业大三在读，数学与信息安详喜爱者，cisp-pte 注册渗出测试工程师，owasp 中国分会项目研究小组研究员，看雪安详、i春秋平台安详讲师 键盘是用户在行使计较机进程中重要的输入器材，假如键盘一旦被进攻者监听或节制，那么小我私人隐私很洪流平上也就袒露在了进攻者的视野傍边。本议题将展示怎样操作射频进攻来举办无线键鼠的监听、挟制来完成用户信息的嗅探，以及对传统和新期间下针对键盘进攻的思绪和能力举办进一步的说明，并在最后给出一些可行的应对方案和法子。 17、From Grahpic Mode To God Mode: Vulnerabilities of GPU Virtualization Rancho Han 腾讯湛泸尝试室高级安详研究员 各大假造化平台中，GPU 的假造化都是一个重要的成果. 差异的厂商着实现方案也有很大的不同。 此次议题中，我将以 Hyper-v 和 VMware 为例，显现假造化平台是怎样支持图形表现的3D 加快成果的。 然后，我将从多个维度说明 GPU 假造化实现进程中的安详题目. 我会具体分解这些进攻面的掘客进程，并披露几个最近的真实裂痕案例。 最后，按照厂商的修复环境，我也许会演示一到两个裂痕操作的实例。 18、从 OPCODE 看以太坊智能合约安详 Hcamael 知道创宇404尝试室安详研究员 以太坊智能合约源码审计是本年较量热点的一个研究偏向，但在智能合约的宣布者不主动发布源码的环境下，我们只能从区块链中获取到智能合约的 OPCODE。本议题将先容从人肉逆向 OPCODE 到怎样编写调试器与反编译器。 自 KCon 2018发出议题征集以来，我们受到了环球黑客的普及存眷，我们对每一位提交议题的伴侣暗示由衷的感激，正是由于有你们，KCon 黑客大会才气一年比一年更好! 历时近三个月的议题招募，KCon 会务组收到的议题远超集会会议议程时长所能承载的数目，这就意味着我们必需放弃很大一部门提交的选题，本着公正合理原则，请专家参谋组的每一位成员对议题举办严酷打分，并团结大会整体议程的把控和布置，最终敲定了 KCon 2018最终入围的18个议题。 （编辑：湖南网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
