Black Hat Asia 2019 | 議題前瞻
大會簡介
BlackHat Asia 2019 大會於3月36日到3月39日期間在新加坡濱海灣金沙酒店舉行。眾所周知，BlackHat是資訊保安行業公認的最高盛會，也是黑客大咖炫技的舞臺，被稱為黑客的“奧斯卡”。今年，BlackHat亞洲站也吸引了很多參會者分享與研討前沿技術與熱點。
大會時間
2019年3月26日9:00 — 2019年3月29日18:00
其中，正式的議題演講時段為2019年3月26日9:00到2019年3月39日18:00。
大會地點
新加坡濱海灣金沙酒店
議題介紹
本屆BlackHat Asia大會目前公開的共有38個議題，涵蓋應用安全、密碼學、資料取證與應急響應、漏洞利用、惡意軟體、網路防禦、逆向工程、智慧電網與公開安全、硬體、物聯網、政策等多個主題。
以下精選與網路安全密切相關且受關注較高的主題進行介紹。
DevSecOps：是什麼？為什麼？如何做？
DevSecOps的一大核心要義是在DevOps的任一階段都能融入安全。基於DevSecOps的理念和框架，企業可以建立基於DevOps的安全企業文化；在SDLC安全開發流程中儘早發現並修復漏洞；通過樹立“安全標兵”的方式普及“保障安全，人人有責”的觀念；將所有的安全軟體整合起來並更有效地進行利用；測評並縮小攻擊面。這個議題將聚焦於如何將DevOps轉變為DevSecOps；探討一些有效的開源工具以及實施DevSecOps所需要的文化建設。同時，還會舉例證明利用DevSecOps解決方案可以減少或阻止嚴重的漏洞或攻擊。
Spectre 的新變種：NetSpectre
2018年1月左右爆發的Spectre晶片漏洞引起了軒然大波。業內一些專家認為，現代處理器大多使用預測執行技術，很可能會再遇到與Spectre類似的漏洞。但Spectre攻擊主要是本地攻擊，需要攻擊者與受害者裝置有物理接觸才能執行惡意程式碼。本議題則介紹了Spectre漏洞的變種NetSpectre，利用這個變種可以直接遠端實施攻擊，也證明了Spectre這類漏洞並不侷限於原生代碼執行。利用Spectre相關的工具，無需互動就能觸發NetSpectre攻擊。演講者認為，Spectre不僅是理論上可行，也可以實際利用甚至洩露關鍵資訊。目前的Spectre補丁還不夠完善，且無法緩解新的變種攻擊。議題最後，演講者會展示未來關於Spectre的攻擊和應對研究所面臨的挑戰，並探討Spectre及其變種帶來的中長期影響，並提醒軟硬體廠商和使用者提起警惕。
揭祕蘋果iOS boot
在這個議題中，研究人員將介紹在iOS中啟動自定義韌體影象的方法。其中將詳細展示安全iOS啟動過程的功能，包括低階元件驗證過程、啟動時載入和執行程序等細節。基於對iOS啟動過程的詳細解釋，演講者將探討研究人員如何利用這些功能，在iOS裝置上建立和載入自定義iOS韌體影象，包括可與裝置原始iOS韌體影象一起出現的自定義XNU核心和系統磁碟影象。
Office漏洞利用
這個議題中， 研究人員將探討一系列利微軟Office功能進行攻擊的技術與案例。其中會披露新Word和Excel漏洞的詳細資訊以及一些可能成為攻擊向量的微軟預設功能。此外，演講者還會現場演示微軟Office套件的架構設計可能存在安全隱患；演示如何利用Word文件來竊取系統中的敏感資訊、如何在沒有載入巨集的情況下建立釣魚文件、如何繞過微軟Office中最新的安全功能（如VBA的AMSI、ASR）等。
使用記憶取證調查惡意軟體
針對政府、軍隊、公共和私營部門的網路攻擊數量正在增加。 其中大多數利用惡意軟體進行財務盜竊、間諜活動、 智慧財產權盜竊等，有些背後還有政治因素驅動。這些惡意軟體使用各種技術來執行其惡意程式碼，同時避開了安全產品 的檢測到。如何快速檢測這些使用高階手段的入侵行為並應急 響應，對安全從業者而言至關重要。這個議題聚焦記憶體取證的實用概念，並展示如何使用記憶體取證來檢測、調查和了解惡意軟體的功能。 此外，演講者還會演示惡意軟體使用的隱身、 規避等手段和技巧。
當聲音釣魚遇上惡意安卓APP
傳統的聲音釣魚攻擊模式是攻擊者打電話給受害者，並通過社工技巧實施詐騙。如今，這個騙術進一步升級，攻擊者會在受害者打電話給政府機構或其他第三方機構時劫持通話，進而實施詐騙。這樣的手段更具有迷惑性，更容易讓人上當。研究人員發現具有這類功能的惡意APP在2018年大量出現，並檢測到了實施分發這種惡意軟體的伺服器。研究人員檢查了這些伺服器上開放的埠並獲取了相應的網頁資訊，最終追溯到很多同類的惡意軟體。根據調查，大約有3000個類似的惡意軟體。研究人員在分析時，實際安裝了其中一款惡意APP並測試打給了攻擊者。本議題將披露研究人員的溯源過程，並揭露這種惡意軟體的實際攻擊路徑。
工業遠端控制系統：安全與漏洞
RF遠端控制器在製造、建築、交通等工業領域有廣泛應用。起重機操作工、鑽探人員和礦工等通常都配備了RF遙控器，這些遙控器更換成本高 、使用壽命長、修補過程繁瑣， 已經成為工控系統關鍵應用中最薄弱的環節。攻擊者可以制定任意命令 ，選擇性地改變RF遙控器的執行結果，造成破壞、 傷害、盜竊或敲詐勒索等嚴重後果。
本議題將介紹研究人員對7家知名RF遙控器供應商 分析結果、公開對無線電協議的逆向過程， 並展示偽造有效命令攻擊目標。演講者將演示如何攻擊沒有任何安全措施的控制器程式設計師， 並讓遠端控制器暴露在遠端攻擊向量中。現場還將 展示如何提取、分析和更改其韌體以實現持久和複雜的攻擊。當然，這些分析和研究結果已經上報給對應的供應商，漏洞正在修復當中。
其他議題還有：
破解IoT殭屍網路
如何繞過高階Rowhammer防禦並獲取root和核心許可權
利用Echo分析檢測LAN中的中間人攻擊
關於Cookie的安全分析
巴西投票系統安全問題研究
TSLv1.3如何提升安全
演示如何入侵瀏覽器沙箱
……
從議題就能看出，本屆大會延續了以往輕鬆、實用的風格，現場一體大多偏向具體案例和技術的分享，包括DEMO等，直觀地體現了演講者的思路與技巧。對於參會者而言，將是視聽盛宴。
大會的結尾，創始人Jeff Moss也將露面演講，致閉幕辭。
更多大會幹貨內容，FreeBuf將在後續跟進報道。
*參考來源：blackhat ，轉載請註明來自FreeBuf.COM