DEF CON 和 Black Hat 有史以来的11场顶级演讲
|
2010 年，安全研究员兼黑客 Samy Kamkar 利用 PHP 编程语言的伪随机数生成器中的一个漏洞，开发了一个名为 phpwn 的程序。PHP 是世界上使用最广泛的基于 web 的编程语言，随机数对于任何加密操作都是至关重要的。特别是，Kamkar 的 phpwn 证明了由 PHP 的 LCG (线性同余生成器)——一个伪随机数生成器生成的会话 ID 可以被准确地预测，从而进行会话劫持。网站使用存储在 Cookie 中的会话 ID 来跟踪和自动验证登录用户。 Kamkar，也是 Samy 跨站点脚本蠕虫(该病毒在 2005 年拿下了 MySpace)的创造者，在 DEF CON 18 大会 “我如何遇到你的女朋友(How I Met Your Girlfriend)” 这一演讲中展示了 phpwn 攻击。他通过一些技术和漏洞展示了如何跟踪在线人员，包括确定他们的地理位置。 10. 骑兵不会来了(The Cavalry Isn't Coming) 在连续几年报告了可以直接影响人的生命和安全的具有严重漏洞的硬件设备，比如那些用于房屋、汽车、医疗服务和公共基础设施的硬件后，研究人员 Josh Corman 和 Nick Percoco 在 DEF CON 21 一个主题为 “骑兵不是来了” 的演讲中敲响了警钟。这次演讲正式启动了 “我是骑兵 (I Am The horse) ” 运动。该运动的目标是让黑客和安全专家与设备制造商、行业团体和监管机构同处一室，更好地向他们传达网络安全风险，以及如何为关键设备消除这些风险。 在接下来的几年里，我是骑兵网络安全基层组织一直致力于帮助汽车和医疗设备制造商启动漏洞赏金和漏洞协调计划，以及为美国国会，美国食品和药物管理局以及其他大西洋两岸监管机构的提供建议。该组织在持续弥补黑客和决策者在文化和网络安全知识上的差距。 11. BadUSB 通过 USB 驱动传输的恶意软件已经存在很长时间了。针对伊朗的 Stuxnet 网络破坏攻击，利用一个零日 Windows 漏洞从 USB 驱动上启动了恶意软件。然而，在 2014 年的 Black Hat 大会上，德国研究人员 Karsten Nohl 和 Jakob Lell 提出了一种和 USB 驱动相关的新型攻击形式，如果不完全组织阻止计算机的 USB 端口，几乎不可能检测或防止这种攻击。 这种攻击被称为 BadUSB，利用了广泛使用的 USB 控制器中薄弱的固件安全来重新编程 U 盘，并让它们模仿其他功能和设备——例如可以自动发送流氓命令和执行恶意负载的键盘。通过设计，USB 协议能够使一个设备具有多个功能，而行为却像是多个设备，因为这种攻击利用了一个设计决策所以无法被阻止。 BadUSB 大大增加了将未知 USB 设备插入计算机所带来的安全风险，甚至是再将 U 盘插入朋友的计算机并添加信任以后。这是因为 BadUSB 也可以变成蠕虫。一个被 BadUSB 感染的计算机可以对插入其中的 USB 设备进行重新编程，并将其变成携带者。 【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】 戳这里，看该作者更多好文
（编辑：核心网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
