GeekPwn@第九届XDef|关于漏洞,他们有话说

admin 2021年7月17日10:42:50评论99 views字数 2272阅读7分34秒阅读模式


4月16-17日,主题为“挑战与变革”的第九届全国网络与信息安全防护峰会(XDef)在湖北武汉举行。GeekPwn 作为峰会支持单位,承办了“漏洞竞赛成果交流”分论坛。


GeekPwn@第九届XDef|关于漏洞,他们有话说
△ “漏洞竞赛成果交流”论坛现场

GeekPwn@第九届XDef|关于漏洞,他们有话说

△ GeekPwn 发起创办人 大牛蛙

GeekPwn@第九届XDef|关于漏洞,他们有话说
△ GeekPwn 负责人 杨泉


“漏洞竞赛成果交流”分论坛响应 XDef “对话、交流、合作、前沿、实用、人才”的宗旨,从目前国内最受关注的 GeekPwn 和天府杯两大漏洞竞赛中挑选了 5 个挑战成功的项目,邀请项目背后的 4 组研究团队分享漏洞发现、漏洞利用过程,剖析技术原理和研究成果等。


这些项目涉及物联网、虚拟化逃逸、企业远程办公、智慧农业等多个场景,代表着漏洞研究从理论到实践的现实意义,对于现实生活中安全风险的前瞻性研究、预警乃至应对都有一定的参考价值。对于选手而言,每个参赛项目都意味着挑战,也让他们站在更大的舞台分享交流、从更广阔的视野剖析研究,在挑战中不断地提升自身能力、日益精进。


GeekPwn@第九届XDef|关于漏洞,他们有话说

几乎每一次破解比赛的过程,包括准备过程,都是发现、梳理、总结安全漏洞的过程。每一名参与其中的成员在接受挑战的同时,也在不断提升自身能力!


GeekPwn 2020优胜选手 沈明航


*GeekPwn 2021 选手报名已开启。别再观望,现在报名,在更高处看新风景!



面向Linux物联网系统通信协议的

逆向分析框架


GeekPwn 2020 选手之一、东南大学教授、国家优秀青年基金获得者凌振与团队成员共同研究、提出了一个针对基于嵌入式 Linux 的物联网系统通信协议的手动逆向分析框架,可用于分析并发现物联网系统中的漏洞。利用这个框架,他们发现了海尔和熊迈两款摄像头存在的漏洞,并利用漏洞实现了远程控制,并在 GeekPwn 2020 的现场攻破成功。在论坛上,凌振教授结合项目对这个通用的框架进行了分析。


GeekPwn@第九届XDef|关于漏洞,他们有话说

△ 凌振


搭建虚拟化的通天梯

ESXi和QEMU的虚拟化逃逸分享


Hyper-v、VMware ESXi和QEMU是目前世界上最通用的几个虚拟化平台,涵盖了几乎所有的云服务器虚拟化产品,他们的安全性备受关注。2020天府杯逃逸挑战赛选手唐天文、肖伟选取选取ESXi和QEMU为目标 ,以USB控制器这一虚拟化产品常用组件为切入点,分析了漏洞的产生及利用过程。


GeekPwn@第九届XDef|关于漏洞,他们有话说

△ 肖伟


失控:从物联网协议滥用

到新基建安全破解


2020年,清华-奇安信联合研究中心研究员钱钇冰和团队带着远程控制无人机以及远程攻破停车收费系统两个项目登上了极棒的舞台且全部挑战成功。两个项目分别涉及到智慧农业、智慧城市等新基建相关场景,而突破口,都在于物联网协议 MQTT 的滥用。


GeekPwn@第九届XDef|关于漏洞,他们有话说

△ 钱钇冰


钱钇冰以两个项目为例,结合当前信息化新基建的大背景,从物联网云、管、端、移多个核心角色出发,介绍常见物联网协议滥用问题的漏洞挖掘方法,还给出了相应的防护建议。


GeekPwn@第九届XDef|关于漏洞,他们有话说
越是基础庞大的设施,越会因为一个很小的问题被撕开口子造成巨大危害。



“针对远程办公的穿透攻击”

最新漏洞细节及新颖的利用思路


受到新冠疫情的影响,全球越来越多的公司将远程办公作为新的办公模式,在实现便捷沟通的同时,保护员工的安全。但是,在家庭环境中通过VPN等方式与办公网络进行连接,也并非100%安全。上海交大网络与系统安全实验室安全研究员沈明航分享了 GeekPwn 2020赛场上与团队挑战“远程办公系统穿透攻击“项目的过程与漏洞利用,剖析个人家庭网络环境存在的安全风险引起的连锁反应对公司系统产生的巨大破坏。


GeekPwn@第九届XDef|关于漏洞,他们有话说

△ 沈明航

最后,借文章开头沈选手的感悟与PWN友们共勉!希望大家能多发现漏洞、多参加比赛,不断挑战、不断突破、不断提升!GeekPwn 永远为你提供展现才华和创意的舞台!



* 添加“极棒小AI”微信(l2986165514),备注“XDef”,获取嘉宾演讲 PPT,技能UP!

** GeekPwn 2021 选手火热报名中,添加“极棒小AI”微信(l2986165514),备注“GeekPwn 2021”,下一个优秀选手就是你!


GeekPwn@第九届XDef|关于漏洞,他们有话说


XDef

XDef

第九届全国网络与信息安全防护峰会(XDef)由国家计算机网络应急技术处理协调中心(CNCNERT/CC)、教育部高等学校网络空间安全专业教学指导委员会指导,空天信息安全与可信计算教育部重点实验室(武汉大学)主办,武汉大学国家网络安全学院承办。


本着“对话、交流、合作、前沿、实用、人才”的宗旨,本届 XDef 汇聚了政、产、学、研、用等各方专家,聚焦参会嘉宾所处行业及领域特色,促进多方安全力量的深入对话与交流,推动国内网络空间安全力量的密切合作。


GeekPwn

GeekPwn

GeekPwn(极棒)大赛由国内顶尖信息安全团队碁震(KEEN)于2014年创办,是全球最大关注智能生活的黑客大赛,与Pwn2Own、DEFCON并称为世界三大黑客赛事。


GeekPwn是全球唯一用可视化的舞台形式展现酷炫黑客技术的比赛,是最具观赏性的黑客大赛,诞生了很多 “世界第一 ” 、 “世界首个 ” 、 “全球唯一 ” 的技术成果。2020年发布的《海南自由贸易港高层次人才分类标准(2020) 》中,明确将参与GeekPwn赛事列为高层人才标准之一。


自创办以来,GeekPwn负责任地披露了近千个高危漏洞,挖掘了上千顶尖安全人才。围绕5G、云计算、人工智能等技术在国计民生中的落地,通过威胁预演、以赛代练,来阻止或者消灭可能发生的安全风险,做好技术、人才以及相关行业资源的储备,提升大众和厂商安全意识,助力产业健康成长。

GeekPwn@第九届XDef|关于漏洞,他们有话说

点击“阅读原文” 观看完整项目视频

GeekPwn@第九届XDef|关于漏洞,他们有话说
点分享
GeekPwn@第九届XDef|关于漏洞,他们有话说
点收藏
GeekPwn@第九届XDef|关于漏洞,他们有话说
点点赞
GeekPwn@第九届XDef|关于漏洞,他们有话说
点在看

本文始发于微信公众号(GeekPwn):GeekPwn@第九届XDef|关于漏洞,他们有话说

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年7月17日10:42:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   GeekPwn@第九届XDef|关于漏洞,他们有话说http://cn-sec.com/archives/341194.html

发表评论

匿名网友 填写信息