白帽子I黑帽子I乐趣
Black Hat总会给我们带来不一样的惊喜
BLACK HAT
不知不觉中,两天的主题演讲就这么结束了。安恒信息特派到Black Hat会场的一线记者小安先带您走马观花的回顾下第二天的精彩议题。
第2日·精彩看点
议题:
Escalating Insider Threats Using Vmware’s API
议题时间不长,所以内容也不多。正常情况下宿主机无法正常访问客户机, 但是通过利用Vmware没有公开的身份认证API函数接口功能,可以突破这个限制, 直接在客户机上执行任何系统命令。并且利用工具已经在github上公开。
议题:
A New Paradigm for Full System Analysis
利用Vmware外接API函数,做了一个rVMI工具,用于检测和调试虚拟机内部的代码。使用这个工具可以很简单的对代码进行调试,加快漏洞挖掘的过程,的确也是一个比较好的东西。
议题:
“Ghost Telephonist” Link Hijack Exploitations In 4G LTE CS Fallback
研究人员在该议题中介绍4G LTE中CSFB信令的漏洞,称之为"Ghost Telephonist"。研究人员通过视频展示仅利用摩托罗拉C118和一台电脑,对4G网络中的短信和电话进行劫持,并可伪造受害者发起短信和电话,并进一步介绍该漏洞的原理以及利用方法。
议题:
Friday the 13th: JSON Attacks
由去年很火爆的Apache java反序列化漏洞延伸到NET和JSON框架的反序列化漏洞。深入浅出地剖析了大概率出现反序列化漏洞的库和接口,再结合CVE实例分析漏洞代码,并演示了弹出计算器的POC来证明反序列化漏洞的存在,赢得在座听众一阵掌声。
现场花絮
只拍了部分展商,整体看下来终端安全相关产品占比一半以上,可能也和最近的勒索病毒的兴起有关吧。
路遇开锁,分分钟解锁炫技,看来历届的Defcon Village 没白去。
Black Hat 2017就这样落下了帷幕,而随后举行的Defcon同样值得期待。
Defcon也被称为黑客秘密大派对,创办于1992年,每年7、8月份在美国的拉斯维加斯举行,今年已经是第25届。每年有全球各地的顶级黑客和安全公司、安全机构的专家参加这一聚会。而今年的Defcon吸引世界各地超过1万名与会者,盛况空前。
今年的Defcon上将会上演哪些让人脑洞大开精彩表演?去年中国战队在Defcon的标志性项目CTF挑战赛中以微弱分差遗憾的获得亚军,不过这已经创造了中国战队的历史最佳成绩。今年,中国战队又会有怎样的表现?让我们拭目以待。