白帽大會資料下載 | 讓技術自生長

大會介紹

阿里雲先知每一年邀請來自世界各地的知名研究人員分享他們的最新發現與安全經驗，向你們分享和展現全新的技術世界。

對於大會咱們有着本身的態度，咱們但願維持黑客技術大會的傳統，對議程內容要求嚴謹，不帶商業色彩同時具有高水準。使每一位對安全技術有興趣的朋友，不管是安全專家或入門新手都得以在這場盛會中有所收穫，盡興而歸。

精彩回顧

16號早上9:00，一大波熱情高漲的同窗已經提早到達會議現場，期待着新一屆的白帽大會開啓。

上午9:30，600-700人的會場座無虛席，會議正式開始。

大會開始後，首先迎來了道哥吳翰清的開場演講，他介紹了本身爲何投身去建設上海城市大腦，同時給白帽子們提了一個建議：安全人員不要給本身設置邊界，年輕人別太束縛本身，喜歡就去作，敢想敢作才能改變這個世界！

而後豬豬俠同窗介紹了先知過去一年的成績，先知9000位實名認證白帽子，去年總計爲1200家企業提供安全衆測服務，爲企業發現超過38000個漏洞，間接避免了15億的經濟損失。

並在現場帶來了先知的三個新計劃

先知通用漏洞計劃
先知紅隊成立（與阿里專家聯合組隊）
衆測101計劃（衆測技巧脫敏分享）

01 macOS 上的邏輯提權漏洞

在會議臨近的前一個晚上，先知君親眼目擊了菜絲同窗，在馬路上修改PPT，凌晨還在彩排現場用IDA調漏洞，只爲給你們帶來精彩的技術分享。

02 弒君者Kingslayer:供應鏈攻擊前餐

redrain同窗抑揚頓挫、此起彼伏的演講風格，讓咱們身臨其境般的走入了一場宏大的戰爭故事之中。他的最終溯源結果讓咱們知道，多起供應鏈的攻擊事件，以及 Schoolbell 跟多起安全行爲都同出一轍，裏面有着深深不可告人的祕密。

03 代碼審計點線面實戰

jkgh006同窗一上臺，二話不說就是一堆很硬的乾貨砸給參會者們，這種簡單粗暴的方式，先知君很是喜歡。好多技術點都能成爲衆測的提款機，具體細節待圍觀者們自行挖掘。現場有很多識貨的同窗，都趕忙的拍了下來。

04 邊信道硬件攻擊實戰

狗汪汪在會議一開始前，就給先知君秀了一波操做，多個視頻直接演示了電磁泄露隱患、時序攻擊、毛刺注入Glitch等漏洞，那個提款機的漏洞演示，看得真是意猶未盡。最後的總結：100%安全的系統並不存在。

05 從一個脆弱點到串起整個攻擊面

Orange在web漏洞利用方面的知識鏈之深，讓人歎服。一個驚豔分號，讓人頓時想說出一句粗話：「哇靠，還能這樣！」，服氣。Spring Framework 0day - CVE-2018-1271 和 Bynder 遠程代碼執行漏洞，讓咱們對路徑解析有了新的認知。

會場到達最精彩的時候

增長到800座椅後依然被坐滿

06 攻擊GraphQL

P牛的議題簡潔清晰，先介紹了傳統的SQL語法和GraphQL語法的使用方式，從敏感信息泄露與越權，前端安全漏洞（如CSRF,Clickjacking等），GraphQL注入漏洞，Debug模式下的信息泄露等漏洞開始，完整的總結闡述了GraphQL會遇到的各類安全問題。

07 Java反序列化實戰

廖新喜從反序列化入門（序列化和反序列化簡介、存儲格式、使用場景、反序列化項目等）的介紹，到漏洞的細節利用，都作了比較清晰的解釋。重點講解了fastjson和weblogic的各類版本修復繞過方法。

08 智能合約消息調用攻防

百度工程師隱形人真忙，從以太坊架構與攻擊面介紹、EVM消息調用原理剖析、消息調用攻防等方面，介紹了智能合約消息調用安全攻防。並附上了本身的總結，那個精妙的call注入漏洞，讓人意猶未盡。

09 從數據視角探索安全威脅

cdxy從海量數據的視角來剖析安全威脅分析的各類思路。

>>>>閱讀全文