【明天震撼来袭！】2017看雪安全开发者峰会，终于等到你！
亲爱的各位朋友们，
明天，
看雪2017安全开发者大会就要开始啦！
你准备好了吗？！
【时间】：2017年11月18日（周六）9:00—18:00
【地点】：北京悠唐皇冠假日酒店 6 层 大宴会厅
【主办方】：看雪学院
绿皮 Flash 之殇 - 漏洞之王 Flash Player 的末路
仙果：
仙果，看雪论坛二进制漏洞版主，兴华永恒公司CSO。长期从事软件漏洞挖掘、分析、利用方面的工作，具有十年以上的网络安全从业经验。多年在办公处理软件（Office、Adobe Reader、Kingsoft WPS）漏洞方面进行相关的分析利用工作。浏览器漏洞利用方面同样也有相关的分析经验和漏洞利用经验。现致力于网络攻防对抗技术研究，专注软件漏洞的分析与利用。
曾在2015年ISC互联网安全大会发表演讲《浏览器漏洞攻防对抗的艺术》；2017 年Kcon 2017 安全大会发表演讲《探索虚拟化技术在漏洞检测中的应用》。
Flash Player 作为最受欢迎的多媒体软件，一直以来都受到大众的软件，遥想当年的闪客精灵时代，何其风光。自从Flash Player 荣登"漏洞之王"的宝座之后，Flash 就成了"千夫所指"的对象，本议题就以Flash player为题，为大家带来Flash Player漏洞利用史，展现Flash 漏洞利用技术和攻防对抗技巧。
绿皮 浅析WEB安全编程
汤青松
汤青松，中国婚博会PHP高级工程师、安全顾问。擅长安全测试工具的研发，web参透测试，在处理web漏洞中积累有大量经验2014年任职于乌云，负责众测开发工作；2015年在网利宝担任研发以及安全建设。目前正专注于PHP的编码安全，PHP安全编码方面的书籍正在撰写中。
他常常活跃在SegmentFault讲堂以及GitChat，多次分享了WEB安全方面的议题。曾在2017 PHP开发者大会上发表演讲《PHP安全开发:从白帽角度做安全》。
这次分享会通过SQL注入，来说明核心数据是怎么被黑客泄露的；通过XSS跨站与CSRF请求伪造漏洞，来分析黑客是怎么进入后台管理系统的；通过越权漏洞，来分析有偿删帖的实现手段的；通过支付漏洞，来分析小学生是如何1分钱购买商品的。在分析原理同时更会针对开发者说明其中的应对方案。
如何做一个既懂开发又懂安全的开发者？此次看雪安全开发者峰会，嘉宾汤青松通过分享《浅析WEB安全编程》，来帮你写出更安全的代码。
绿皮 业务安全发展趋势及对安全研发的挑战议题概要
彭巍
威胁猎人产品总监。曾任职于猎豹移动，负责金山毒霸系统查杀引擎的研发，解决终端安全问题。2017年初加入威胁团队，专注业务安全相关⿊灰产研究及对抗。
业务安全在2012年之前还只是以阿里、腾讯及携程等为主的局部战场，近些年随着垂直电商、社交、移动游戏和O2O等领域的快速发展，业务安全及反欺诈被更多的视线关注，但多数厂商并没有像阿里和腾讯一样与黑产相爱相杀一起成长，面对黑产的攻击会一时无措。作为防守方，除了对抗技术外，也要增强对黑产的认知，了解当前在一些业务核心问题上的对抗阶段和思路。
从我们接触的多个案例表明多数甲方在业务安全及反欺诈上很被动的主要原因是缺乏对黑产的认知，这个议题会从国内业务安全发展过程来帮助甲方研发梳理业务安全对抗思路并对当前主要的一些风险场景具体说明。
绿皮 Windows 10新子系统*新挑战
陆麟
陆麟，中国最老的十大黑客之一，Windows系统内核专家！原NEC中科院软件研究所专家。现任上海高重信息科技有限公司CIO。长期研究系统内核。多年耕耘信息安全领域。
本演讲课题讲述Windows10系统因对Linux系统的支持所带来改变以及伴随而来的安全挑战。
绿皮 智能化的安全: 设备&应用&ICS
王东，启明星辰ADLab西南团队负责人，十年网络安全研究经验，擅长windows内核攻防研究，安全开发，程序分析，漏洞挖掘。目前专注于二进制漏洞挖掘和电力工业控制系统安全研究。
物联网热潮和泛在信息化推动了智能设备和智能应用的迅猛发展，同时野蛮式生长也带来了大量的安全漏洞，一旦被利用就会爆发出远超传统信息化逻辑边界的物理性伤害。本议题首先用智能门锁为对WIFI和BLE两种组网类型的智能设备进行安全漏洞分析，然后分析日常生活中智能应用的典型安全漏洞，最后分享我们在工业控制系统方面的安全研究经验。
听众收益：让更多的开发者了解典型的安全漏洞，更好的提升产品的安全性；让更多的使用者了解身边的安全威胁，更好的保护自己的隐私和安全。
绿皮 移动APP灰色产业案例分析与防范
无名侠，自由Android安全研究员、看雪会员。热爱APP通信协议分析，曾经分析过各商城、直播软件协议流程并还原加密。对灰色产业链流程略有研究。
移动互联网时代，互联网业务飞速发展，在这样的大背景下滋润了一条以刷单、倒卖、刷榜、引流、推广为主的灰色产业链。他们以低成本换取了高额的利润，给互联网企业以及用户都带来了巨大的损失。加固技术、风险控制、设备指纹、验证码等技术也都在飞速发展，但实际效果并不能让人满意。
本议题将揭露多个真实案例的技术细节，开发流程，运营流程，并提出一些防护建议，协议安全需要从体系上进行加强。
绿皮 开启IoT设备的上帝模式
杨经宇（Jingle）毕业于伦敦大学信息安全专业，现就职于腾讯反病毒实验室，从事恶意代码研究工作。开发的腾讯哈勃分析系统开源版入选过BlackHat兵器谱。热爱IoT安全，病毒分析等领域的研究。
当今IoT设备大量涌入智能家居领域，IoT安全和大众的生活息息相关，智能电饭煲、插座、摄像头、电视、扫地机器人......如果智能家居被如电影中的智能汽车一样被远程遥控，那后果不堪设想。
IoT设备因为自身与传统PC设备在硬件和软件上的巨大差异，引发了新的安全问题，本次分享专注于讨论IoT设备被root后面临的相关安全问题。
本次看雪安全开发者峰会，杨经宇将关注IoT设备，及其开启上帝模式(即root模式)的相关安全问题，包括root设备的技术手段, 获得root权限后引发的潜在安全威胁。并提供缓解安全威胁的一些方法。此外，还将分享两个已提交CNNVD的IoT设备root漏洞。
绿皮 那些年，你怎么写总会出现的漏洞
邓永凯，Web安全研究员。绿盟科技从事安全工作6年，主要负责Web与系统漏洞扫描产品的开发及攻防代表、Web漏洞挖掘及分析、Web安全研究工作。 现于绿盟科技应急响应中心从事Web安全研究工作。擅长代码审计、Web漏洞挖掘、安全自动化、渗透测试。
曾创办《安全参考》、《书安》等免费电子安全杂志，国内多个漏洞提交平台及SRC核心白帽子，SSC安全大会演讲者。
在本次看雪安全开发者峰会上，邓永凯将对开发者在开发编码时最容易产生漏洞以及意料之外的漏洞进行分析，阐述其原因以及应该注意的地方。通过没有防御到防御绕过、错误的防御姿势、错误的使用方法、错误的修复方法、系统及语言自身特性、设计缺陷、二次漏洞、程序员的惰性导致的漏洞等方面进行实例讲解。
开发者可以通过各种漏洞案例的分析了解到自己曾在编码中出现的问题，明白那些年为什么总是写出有漏洞的代码，纵使各种防御仍被绕过，即使及时修复仍会再次出现漏洞的原因，从而提高安全开发安全编程的重要性意识，提高代码质量。
绿皮 游戏外挂对抗的安全实践
胡和君
胡和君，腾讯游戏安全高级工程师，现就职于腾讯游戏安全中心，从事PC端游戏安全相关工作8年多，涵盖新游戏安全评审、游戏外挂分析与对抗、游戏漏洞分析与应对、安全方案开发等方面，长期负责公司多款头部FPS类游戏安全对抗工作，积累了丰富的游戏安全实践经验，尤其擅长定制化分析及应对FPS类游戏安全风险。
本议题，将会以FPS类型游戏的自瞄外挂功能的对抗为例，通过对自瞄外挂实现原理的解析，阐述如何使用定制化的技术思想，达到对外挂作弊功能的持续压制。
另外议题中也会涉及游戏漏洞挖掘的核心思路和方法技巧，游戏开发者自身提升游戏安全性的技术手段，安全防守方定制化方案分析、开发、实现的方法和技巧等内容。
听众收益：
了解定制化的方案如何解决游戏外挂作弊的问题，能够收获游戏外挂对抗方案定制化建设的方法及技巧。
绿皮 java json 反序列化之殇
廖新喜
廖新喜(xxlegend)，绿盟科技网络安全攻防实验室安全研究员，擅长代码审计，Web漏洞挖掘，拥有丰富的代码审计经验，曾在Pycon 2015 China大会上分享Python安全编码。安全行业从业六年，做过三年开发，先后担任绿盟科技极光扫描器的开发和开发代表。目前专注于Web漏洞挖掘、Java反序列化漏洞挖掘。曾向RedHat、Apache、Amazon和Oracle提交多份漏洞报告。2016年网络安全周接受央视专访。《谁动了我的VIP账号？》
在此次看雪峰会演讲中，廖新喜将为大家阐述由Java Json库的反序列化特性导致的RCE。另外，还将以Fastjson举例说明，公布部分未公开的反序列化的payload、0day，并会对这些payload分类解读。
议题将涉及Gson，Jackson和Fastjson这三个最常用的JSON序列化库的序列化和反序列的操作，并分析其安全机制，从安全机制上发现其潜在的安全漏洞。
反序列化漏洞出来已有一段时间，前期的一些防御方案随着时间的推移不再有效，但是却广泛传播，本议题将从开发、运维的角度来，给出全面的建议，指出哪些防范方案不再有效，为什么是无效的，并进一步提出正确、可靠的防御方案，以防御此类安全问题。让更多的开发者对Java反序列化漏洞有更加透彻的理解，做好安全编码，做好安全防护，减少被黑客骚扰的机会。
那么该如何避免这些问题呢？答案就在本次峰会揭晓！
绿皮 一石多鸟——击溃全线移动平台浏览器
Roysue
Roysue，看雪iOS版块版主，iOS独立安全研究员，iOS系列书籍作者。《iOS黑客养成笔记：数据挖掘与提权基础》电子工业出版社今年11月出版。《越狱！越狱！》正在撰写中，预计明年6月上市。
从小酷爱计算机，在网络空间和单机游戏中度过青少年生涯；大学没能读到计算机是最大的遗憾，却依旧戒不掉对计算机的这份酷爱，长时间浸淫在国内外各大论坛和技术书籍之中，心之所向，身之所往！
浏览器早已成为我们日常生活中不可或缺的一部分，这种攻击可以造成大范围的用户信息泄露，不仅局限于网站上手机上填写的姓名电话、信用卡银行卡等用户基础信息，更包括了我们日常生活中频繁使用的淘宝购物，“扫一扫”、“公众号”、“小程序”、共享单车H5、饿了么H5等等贴近生活的一线App，所有App均不同程度的使用了某种Webview的实现。一旦被意图不轨者掌握并利用，后果非常严重。针对应用层的攻击频次连年增长，攻击方式更加多元，而越来越多企业的业务又依靠互联网来实现，防止应用层安全失守成为企业不可回避的问题，做好应用层安全也成为厂商和企业不可或缺乃至不可推卸的责任。
绿皮 如何黑掉无人机
谢君，阿里安全IoT安全研究团队Leader，资深安全专家，12年安全领域工作经验。现专注于IoT安全研究与提供解决方案。
2016年发现小米整个智能硬件生态高危远程漏洞，在XPwn2016展示其漏洞利用并协助修复；
2016年发现美的智能生态远程高危漏洞，并协助修复；
2015年发现Broadlink整个智能硬件生态高危远程利用漏洞，在GeekPwn2015展示其漏洞利用；
2014年发现美国奔驰高危远程漏洞，并控制超过50辆奔驰汽车。此前并发现过惠普，富士施乐打印机远程漏洞和微软高危漏洞；
2011年发现迅雷网络多个高危漏洞，并且验证利用迅雷网络发起大规模DDOS攻击。
本议题是基于某品牌创新无人机DJI Phantom 4 Pro和DJI Mavic Pro机型上进行的研究，系统的介绍某品牌无人机的架构体系，功能模块，传感器等，包括各个组件的攻击面，安全防护体系，软硬件反调技术及其绕过方法，并深度解读无线宽带通信等。现场会介绍一个不需要通过软件漏洞就能Root无人机的方法，以及如何远程劫持一台无人机。
以开发会安全，以安全辅未来!
长 | 按 | 二 | 维 | 码 | 购 | 票