期待ing。今天带大家看看乌云的白帽们带来了哪些干货。
今天从大楼北门进来时，看到了个大牌子，大家都来看看，是不是很有意境。
看看今天的议程：
进会场喽：
今天换了个女主持人，据说是个主播，可惜离的有点儿远，看不清，也拍不太清。
一、Build Your SSRF Exploit Framework---一个只影响有钱人的漏洞--猪猪侠
猪猪狭说了一种漏洞，叫SSRP，利用一个可以发起请求的服务，当作跳板发起攻击；很多企业的安全人知道，但不认为这是个安全风险，或者知道这个风险，却因为各种各样的原因，选择了忽视。
为什么说是有钱人的漏洞，因为有钱人的网络有两个特点：网络大、机器多，各应用相互调用。
因为不太懂，不做评论。
二、Shell is Only the Beginning--后渗透阶段的攻防对搞--三好学生
主持人是这样介绍“三好学生”的：服务器见到会自己主动拔掉网线的乌云白帽子。
三好学生以「黑客」视角介绍如何绕过传统的系统防护，并且对照具体的攻击方法提供防护建议。未知攻，焉知防？
三、如何分析和攻击私有协议中的密码学安全漏洞--刘慧
刘慧，一个专业研究密码的女博士。
对于密码学，不外乎加密解密、完整性保护、数字签名。想研究的同学可以买本书看看。
一个字：枯燥，如果你数学不好，能把你绕死。
四、That’s a Secret--路人甲
这是本次大会唯一一个没有到现场的演讲者，演讲说是出于各方面考虑没有现身，采用网络同传的方式将声音发给一只立在话筒旁的机器猫上。很炫吧。。
继续放路人甲的图片：
注意看，主持人手里拿着的那个白猫就是路人甲的同传工具。是不是很萌？
重点来了，这个“神秘人”主要讲了哪些东东？
其主题是：大数据下的诈骗。讲了一些比较实用的东西，模拟黑客如何获取受害人的信息，又如何通过这些信息使受害者上当受骗。类似于一些防范坏人的今日说法类栏目，但很实用。
总结：这个环节我听懂了，从小受的教育多了的好处终于体现了出来。
下午的议程开始了，还是比较紧张的，一共6场。
一、Play with Pseduo-Protocols--gainover
Gainover主要讲了应用伪协议的危害，以及如何利用应用伪协议完成攻击。
总结：如何通过各种命令建立一个用户，并提权，然后使用各种不正常的方法打开一个calc。
二、XcodeGhost is Just the Beginning-Summary of Attacks on Non-jailbroken iOS Devices--蒸米
蒸米的主题是啥？上面的英文自己翻译出来就知道了。反正我没翻译出来。
主要讲了IOS的漏洞，讲述自己如何发现了苹果的漏洞，以及这些漏洞的危害。
总结：这个---苹果也中枪了。。
主题图片：
PPT全是英文，高危。六级没过者勿入。
三、Find Blue Oceans-Through the Competitive World of Bug Bounty--Muneaki Nishimura（nishimunea）
注意：--后面的是名字，我们就叫他Nishimura。一位来自日本的白帽子。
他的主题就是：如何利用漏洞赚钱。
他的忠告：在利用漏洞赚钱的时候，要绕开竞争激烈的目标，去轻松的找漏洞。
图片：如何利用有限的时间挖更多的漏洞。
感谢台上的日文翻译，让我们有了下面的段子：
路人甲：日语翻译最后说，我实在翻译不下去了，前面都是我瞎编的。
路人乙：演讲者说，其实我中文说的666，你来打我呀
路人丙：翻译：妈的刚才说的啥 台词上没有啊
路人丁：あなたは愚かですか？
总结：日本人很实在，不远万里来到中国，就为了告诉我们如何利用Microsoft和Adobe的漏洞来赚钱。
四、ZDI-Vulnerability Trends--Jasiel&Abdul
Jasiel&ABdul是两位来自美国的白帽子。
人物图片：
主题：依旧是如何利用漏洞赚钱。不一一细说了。
路人甲：为什么不请个英文翻译？
路人乙：主办方默认参会者都是专八的水平。
路人丙：即使不会也要装作很认真的思考，不能在外国人面前丢了面子。
路人丁：我手酸了，实在翻译不过来了，讲的太快了。还有，前面翻译的都是我猜的--
总结：美国的白帽比日本的白帽更牛逼，不仅仅是找漏洞提交厂家赚钱了，他们的黑产上升到一个新的层次。我将漏洞卖给出价高的客户，或者我购买漏洞，最重要的是，漏洞提供方竟然提供三包，提供三包，提供三包。包括：如何使用、提供售后，如果这个漏洞三个月内被破解后会提供新的漏洞。我当时就惊了，这是赤裸裸的犯罪啊，这在中国绝对是严打的对象啊。
五、女生学资安*资安女孩研究室的成长日志--Wuling
Wuling，一位台湾女同胞，一股小清新范，一上场将前两场的沉闷画风改变了。
资安，解释一下，在台语的意思是网络安全。
总结：没啥特色，就是讲自己如何带着一个团队学习安全。
资安：
六、对方不想说话并扔了个message--呆子不开口
呆子不开口是一个男性白帽子，技术精湛，语言幽默。
主题：主要讲了XSS攻击。概述下两段话：手机QQ你点我的链接，我登录你的微博；手机QQ你点我的链接，我获取你的位置信息。
总结：这哥们不去说单口相声真是可惜了。
Message：
7月8日-7月9日总结：
1、7月8日，我梦想有一天我也会成为一个白帽子，并站在这里做演讲，一个晚上过后，我想成为一个白帽子的梦想彻底破灭了。要成为一个白帽子，要看的懂代码，并在代码中找出漏洞；要懂二进制；要懂Linux和Windows下的各种命令；要懂逻辑思维；要懂数据安全。好了，我是学文的，我要是数学物理学的好，我大学就学计算机了。
但，梦想还是要有的，万一实现了呢？
2、掌握一门外语确实很重要。有时候一门还不够，谁知道你遇到的人说的是哪一门呢？
3、外国的安全氛围比国内要开放，比如，人家张口说黑产，闭口说交易，但国内的公开会议中，没人提及。
4、安全很重要，安全意识更重要。
5、中国有十三亿人，不可能每一个人都是安全工作者，那作为一个安全工作者，我们是不是有义务去保障他们的安全？
会议解读完了，带大家逛逛有意思的分会场：
1、春秋体验馆
2、安塞攻击回放
3、无声信息
4、irc
发表于 2016-7-9 22:24
QQ好友和群
QQ空间
腾讯微博
腾讯朋友
技术专家4级