看雪2018 安全开发者峰会，圆满落幕！

2018年7月21日，看雪学院于北京国家会议中心迎来第二届安全开发者峰会。本次峰会以“万物互联，安全开发”为主题，聚焦物联网及 区块链 的开发安全，聚合了安全和开发两大领域，旨在建立多领域、多维度的高端安全交流平台。

峰会现场有近1000位来自全国各地的安全和开发人员参加，10大议题覆盖物联网、智能设备、区块链、机器学习、WEB安全、逆向、安卓、iOS等前沿领域，汇聚业界顶尖大牛，促进了网络安全生态圈的健康发展，推动了技术领域的积极变革。此外，本次峰会还促成了BAT3J首次同台，探索物联网安全新风向。

车联网是物联网未来的重要组成部分，看雪也非常重视车联网的技术研究和发展，并和中国 汽车 研究中心进行了深入合作，希望能为该领域添砖加瓦。这次我们有幸邀请到中国汽车技术研究中心有限公司数据资源中心软件测试部部长张亚楠女士为我们致辞。

看雪学院的创始人段钢先生介绍了大家期待已久的《加密与解密 第四版》动向，目前已在京东、当当网等网站开始预售。此外，还简单介绍了看雪社区未来的发展规划。看雪将进一步建设社区，调动社区潜能，为安全人员提供一个全方位、多维度的学习、成长、就业平台。

十大精彩议题，干货满满！

端到端通信中危险的中间盒子：祝福还是诅咒？

互联网 的出现改变了世界，与之对应的赛博空间上随处可见疾驰着的数据包。理想情况下这些数据包的传输过程应该是简单的，剩余工作都直接交付给终端处理。但现实场景却并非如此，由于各类中间盒子（交换机、CDN、IPS、WAF 等）的存在使得传输过程变得越发复杂，进而造成了很多安全问题，例如广告植入、隐私泄露，此外，地下灰黑产亦是玩的好不乐乎。本次议题将由清华大学教授、清华大学-360企业安全联合研究中心主任段海新为我们带来网络端到端通信方面的安全研究，从中间盒子探测实验开始一步步揭示了缓存污染、HTTPS 中间人攻击的问题，而所有这些讲述均在实际例子的配合下循序展开，相信能够激发各位的思考。最后，正如演讲者所说互联网的魅力源于一个个自由舒展的灵魂，随着 Web3.0 时代的到来又是否能有新的创造，让我们共同期待。

被“幽灵”所困扰的浏览器

2018 注定会在芯片发展史上留下浓墨重彩的一笔。从年初曝光 CPU 漏洞以来，随后的几个月又相继出现了多个漏洞变种，传统芯片厂商无一例外纷纷中招。而出于安全等因素考虑，更多的互联网 科技 巨头开始争先入局芯片的自主研发，推出了各类机器人芯片、AI 语音芯片、自动驾驶芯片等。除了资本市场的火热，各国政府也是加大力度扶持相关产业的安全研究，这些无疑都给我们敲响了芯片安全的警钟。此次议题将由腾讯安全玄武实验室的宋凯带我们回顾点燃这场硝烟的“幽灵”漏洞，在详尽介绍原理的基础上演讲者给出了在浏览器中实现稳定利用的可行方案，本议题值得我们安全人员细细研读。

NLP 机器学习模型安全性及实践

距离计算机先驱们在达特茅斯创立 AI 学科已过去 60 多年，目前属于它的时代正逐步到来，资本市场上更是竞相推崇，一代代 AI 人的坚守终于迎来了春暖花开。但回望 AI 早前的这段曲折历史，相信每个人都不免慨叹，好在现今计算性能的大幅提升以及海量数据都为 AI 的发展提供了绝佳契机，虽然接下去要走的路还很漫长。而作为支撑 AI 的机器学习所扮演的重要角色自然不言而喻，针对其中各种训练模型、算法的攻击已是屡见不鲜了，随之而来的安全问题也日益凸显。这让很多人开始思考 AI 的安全性，本次议题是由吴鹤意为我们带来的有关此方面的探讨，并以 NLP 在实际业务中的应用为例进行了详细阐述，相信大家在看完文章后都会有所收获。

智能设备漏洞挖掘中几个突破点

来自绿盟科技的马良与大家分享针对智能设备固件提取的攻防手段。并从嵌入式系统的软硬件的基础架构、智能设备提取固件的十大方法两个方面，进行讲解，其中还将讲解涉及到的软件和硬件工具，及工具的作用和用法。

除此之外，马良对智能设备安全研究人员提取固件的常用方法进行梳理，也对开发者提出了一些安全方面的建议，避免厂家辛苦开发出的产品、想要保护的固件没有保护好，被轻易提取出固件分析。无论是开发者还是安全爱好者都值得一看。

iOS App  安全审计与案例分享

前段有关区块链智能合约的审计很火，引得众人纷纷投入其中，本议题讲的也是安全审计，不过针对的是 iOS App，套路都可以相互借鉴，对安全研究者来说，“深度学习+迁移学习”显得尤为关键。iOS 平台上的安全问题不是一天两天的事了，远的有 XcodeGhost，近一点的则有 ZipperDown，果粉们曾引以为豪的安全性在时光的车轮中也终不复。且随着 iOS 功能不断丰富完善，例如 苹果 在 VR /AR 领域的布局，都使得系统攻击面相应增大，此外很大概率上还存在一些已被利用的安全问题未为人知晓。因而如何保障系统中所运行 App 的安全就成了亟需解决的难题，以下内容是由盘古实验室黄涛为我们带来的 iOS App 安全审计方面的分享，相信各位都能从中得到启发。

TCP 的厄运，网络协议侧信道分析及利用

对初次接触侧信道攻击这一概念的人，可能多少会有些困惑，实际上其含义有点类似于旁敲侧击，即通过事物的关联性来间接印证某一事实。在我们熟知的网络攻击领域，中间人方式可谓屡试不爽，战果也甚丰硕，由其造成的危害是比较严重的，那么非中间人方式的攻击呢？本次议题将由加州大学河滨分校的钱志云教授为我们带来有关网络侧信道方面的分享，在相关研究背景的铺陈下，演讲者分别详述了基于全局 TCP 计数器、共享限速器以及 WiFi 协议在内的多个 TCP 侧信道漏洞变种，其中不乏首次公开的利用技术，足见非中间人方式的网络劫持也是大有可为且隐蔽性更佳。如果你想深入侧信道攻击的学习，那么本议题不失为一篇很好的序章。

自动逆向机器人

每隔一段总会听到群里有人抱怨说“逆向是个体力活”、“都在这个程序里绕好几星期了”、“混淆代码逆半天就是个简单循环”，诸如此类，然后抱怨完又继续痛并快乐着，此情此景，很多安全研究人员都是深有体会。那么，有没有什么办法可以增强我们的程序逆向能力呢？不少人开始取经 IA（智能增强）领域的技术，希望借助计算机的力量来实现自动化的处理。此次议题我们就来看下阿里巴巴安全部-猎户座攻防实验室的弗为带来的有关自动化逆向的实践与思考，通过构建机器去完成所有的逆向分析工作，进而使得研究人员可以站在更高的维度看待原先的问题，相信文章能够激起大多数人内心的共鸣。

潜伏在PHP Manual背后的特性及漏洞

初学者大都有疑问，如何入门安全？事实上，知识是一点一滴积累起来的，肯下功夫就一定会有收获。例如进行代码审计，有经验了自然能更快定位到问题函数，再如 CTF 比赛，Get 的知识点多了处理起来就会更得心应手。本次议题中绿盟科技工业物联网安全实验室的邓永凯将以 PHP 语言为例，为我们揭示开发手册背后存在的安全隐忧，可以看到所有这些示例都是演讲者经年累积下来的并融入了自身的体会，从中透露出的是严谨的治学以及“细心+多动手”，而通过字符串操作、文件操作、过滤函数等方面的讲解，又使得我们对开发过程中可能引入的问题有了更直观认识。当然，编程语言只是作为和计算机交流的媒介，此中讨论放之其它语言也是皆准的，该文章不仅适合安全人员，开发人员更要值得借鉴，安全与开发更多时候是相辅相成的。

从WPA2四次握手看KRACK密钥重装攻击

本议题主要围绕2017年年底爆出的WPA2协议的漏洞展开，该漏洞通过WPA2协议在实现四次握手过程中出现的缺陷，对该过程进行攻击从而导致密钥被重新安装，进而实现通信数据的劫持。

与平时经常爆出的漏洞不同的是，该漏洞属于协议层面，并不针对某一特定型号的设备或产品，因此任何接入WIFI的设备都有可能受到影响，由于攻击本身并不能获取WIFI密码也不针对WIFI密码，因此定期更换密码并不能抵御此类攻击，用户可以通过禁用客户端的某些功能来降低针对路由器和AP的攻击风险。

硬件钱包安全分析

伴随区块链造币的兴起，近两年来 创业 公司竞相入局誓要分上一杯羹。币圈这么火，除了合约安全，钱包安全自然也免不了要引起大量关注。本次议题将由北京知道创宇总监、工业控制系统信息安全国家安全技术国家工程实验室分部主任胡铭德为我们带来有关硬件钱包的分享，并着重讲述了国内外硬件钱包的安全现状及存在问题：由于大多厂家对安全理解不到位，出现很多设计架构问题。很多比特币硬件钱包基于 手机 平台开发（MTK），存在很多不安全性和脆弱性。

此外，他还向我们展示了如何暴力破解两个世界知名硬件钱包，并利用该平台USB接口的漏洞，对固件修改，对手机钱包App修改，从而打开WiFi蓝牙接口，进而完全控制钱包的私钥。

BAT3J  首次同台，引发头脑风暴

IoT 安全

主持人：碁震KEEN创始人兼CEO，王琦先生

参与嘉宾（从左至右，依次为）：

360黑客研究院、无线电安全研究院负责人杨卿先生；梆梆安全CTO陈彪先生；阿里巴巴安全部资深总监，基础安全负责人黄眉先生；小米首席安全官陈洋先生。

安全的本质是人和人的对抗，因此离不开更多的人去关注这方面，用户、厂商、安全人员缺一不可。而安全研究员作为其中的一个方面，其发展程度影响行业发展趋势。如果安全行业得不到认可或者得不到相应的薪酬认可，技术无法实现，那安全便无从做起。安全工作无非就是两个问题：减少漏洞、增加攻击成本，我们不一定能消灭问题，但希望能有更多的人关注IoT安全并发现其中问题，增强攻击的成本。本次圆桌会议，各位嘉宾针对IoT带给安全人员的机遇与挑战进行了深入的分析，新颖的观点得到现场观众的一致认可。

区块链安全

主持人：中国鹰派联盟网站创始人万涛先生

参与嘉宾：（从左至右依次为）：

京东首席信息安全专家Tony Lee先生；乌云创始人方小顿先生；娜迦科技 CTO，阎文斌先生；360漏洞挖掘部技术总监，古河先生；币盈科技 zwmorm。

近年来，区块链技术发展的火热，但随着时间的推移，区块链的安全安全问题也开始频繁出现。交易所数字货币遭窃、被黑客攻击等时间层出不穷，其中的原因引人深思。与安全事故频发相对应，一批提供区块链安全服务的企业开始崛起，与传统的安全服务不同，安全人员面临新的发展机遇，又该如何把握呢？看雪诚邀6位嘉宾在圆桌会议上对此问题进行了探讨。

CTF  颁奖盛典，你pick哪个小哥哥？

CTF 获奖选手合影

从左至右依次为：段钢，Tony Lee，黄国彬，holing，李辉，宋智琪，韩数，孙心乾，陈红桥，邓静恒

历时一个月的看雪。京东2018 CTF在几天前落幕，看雪诚邀获奖的攻防双方选手莅临现场，并邀请京东首席安全官Tony Lee和看雪学院创始人段钢先生为选手颁奖。

幸运抽奖环节，礼物抽不停

梆梆安全CTO 陈彪先生为获奖选手颁奖，奖品为5个价值500元的背包和5个树莓派。

小米安全研究员Rebecca 为获奖选手颁奖，奖品为3个小米手环、2个小米小爱音箱mini、5个米兔、5个指尖积木。

腾讯安全应急响应中心TSRC负责人 钟武强为选手颁奖，奖品为2台Kindle和1台价值6498元的Macbook Air。

现场图锦，场内场外一样精彩！

8点，参会者陆陆续续进场签到

峰会当天日程板及赞助商、 媒体 合作伙伴、合作单位

。

不一会，容纳1000多人的会场就已经坐满，大家都在互相的交流中，等待会议的开始。

十大议题干货满满，参会者都听得非常认真。

演讲间隙，不少参会者在场外展台处咨询、拍照，气氛活跃。

看雪特邀乐队，为大家带来了震撼的音乐现场，一扫夏日午间困意。

作为互联网更深层次的发展，物联网和区块链目前正在崭露头角，发展潜力巨大。区块链+物联网是否能够解决当前互联网发展的局限，并对人们的生活产生更深层次的影响，本次峰会所邀请的各位嘉宾们给出了他们的回答。

18 岁的看雪，风华正茂，我们将紧抓时代的脉搏，奋力前行。感谢各位朋友们莅临现场。看雪将不负初心，砥砺前行，继续为信息安全事业的发展贡献自己的力量。为期一天的看雪2018安全开发者峰会，至此圆满落幕！我们明年再见！

钻石赞助