看雪 2018 安全开发者峰会，倒计时16天！
段海新
清华大学网络研究院教授，清华大学（网络研究院）-360企业安全联合研究中心主任。在网络安全领域有20多年的教学、科研和管理经验，多项研究成果发表在国际竞争最为激烈四大安全顶级学术会议上，曾获获国际顶级安全会议NDSS杰出论文奖、中央网信办首届“网络安全优秀人才”奖。世界知名攻防战队“蓝莲花”、网络安全研究国际学术论坛（InForSec）的联合创始人。
将结合团队近年的研究成果，介绍Web通信中的各种中间盒子存在的安全问题，包括注入广告或恶意内容、泄露用户隐私、缓存污染、大规模拒绝服务攻击等。
宋凯(@exp-sky)
腾讯安全玄武实验室的高级安全研究员。对于软件漏洞挖掘与利用有着丰富的研究经验，主要关注浏览器及操作系统相关的安全研究。在Fuzzing与其它漏洞挖掘技术上也有着丰富的经验。曾代表腾讯安全玄武实验室赢得Pwn2Own 2017 Edge 浏览器项目。曾连续三年入选微软 MSRC 全球 Top 100 贡献者榜单，最高排名第12位。赢得2016年微软 Mitigation Bypass Bounty 项目。分别赢得2015年和2016年 EdgeBounty 项目。曾在AsiaSecWest、HITCON、中国互联网安全大会、XKungFoo等安全会议发表演讲。
在这个演讲中，我们将分享如何在浏览器中利用"Spectre"漏洞。我们将介绍如何通过Javascript触发"Spectre"漏洞并且生成可以稳定刷新缓存的汇编指令。
尽管 "Spectre" 漏洞影响了大量的用户，但它能否在实际的攻击中产生危害呢？我们会展示在浏览器中，通过"Spectre" 漏洞可能造成的实际危害，并讨论相关的缓解措施。
吴鹤意
网络安全爱好者，拥有大型政企单位安全应急与运维经验，多次参与中央部委安全事件解析工作，研究领域现集中于AI+SDN。
现在AI在各行各业的应用越来越多，但是对于AI模型的安全性研究相对落后。虽然国内外一些安全专家已经有了部分的研究成果，但是现阶段，从业务安全的角度，还没有很多的研究资料。本演讲从AI在自然语言处理领域NLP的实际应用出发，通过实例，介绍AI问答机器人产品的业务安全问题，试图打破AI和业务安全之间的壁垒，推进AI在行业中的落地应用。
马良
硬件爱好者、编程爱好者。就职于绿盟科技，研究领域为物联网和工控安全。擅长嵌入式系统，在进入安全行业前，曾有十年嵌入式软件开发经历，4年物联网产品开发经验，3年LTE开发经验，3年工控系统开发经验。2016 XPwn 西门子PLC工控蠕虫演示者。
本议题主要针对智能设备固件提取的攻防手段进行了整理和总结。
先对嵌入式系统的软硬件的基础架构做了介绍，然后会详细讲智能设备提取固件的十大方法，涉及到的软件和硬件工具，工具的作用和用法。本议题对智能设备安全研究人员提取固件的常用方法进行梳理, 也对开发者提出了一些安全方面的建议，避免厂家辛苦开发出的产品、想要保护的固件没有保护好，被轻易提取出固件分析。无论是开发者还是安全爱好者都值得一看。
5iOS App 安全审计与案例分享
黄涛
3年软件开发经验，4年信息安全从业经验，拥有丰富的开发经验外，擅长MacOS/iOS漏洞挖掘、分析，逆向工程，iOS App安全审计。曾在看雪论坛及个人站点发表大量技术文章。在macOS/iOS的漏洞研究积累了大量的经验，目前在盘古实验室从事macOS、iOS漏洞挖掘、分析与iOS App应用审计工作。
本议题将会分享盘古实验室在针对iOS平台的App审计的工作过程中应用的技术手法和发现的常见问题。同时结合真实案例详细介绍在App审计过程中发现并利用ZipperDown的技术细节，包括ZipperDown对微博、qq音乐、陌陌等用户数量达到千万级别的APP的影响以及我们在构建ZipperDown完整攻击链的过程中遇到的问题和解决思路。
6TCP的厄运，网络协议侧信道分析及利用
钱志云
加州大学河滨分校 (University of California, Riverside)副教授。研究兴趣在于网络、操作系统，以及软件安全，其中涉及到TCP/IP协议的设计与实现，安卓操作系统的漏洞挖掘和分析，以及侧信道在网络系统领域中的安全性研究。曾获得GeekPwn 2016最大脑洞奖和GeekPwn 2017优胜奖。
介绍网络侧信道的历史。作为一个小众和新型的漏洞类型，我将阐明网络侧信道的威胁和安全风险。作为GeekPwn 2016和2017上获奖项目（同时为顶级安全学术会议作品），我将剖析TCP侧信道的漏洞成因和利用方法（其中GeekPwn 2017的攻击将首次揭秘）。这两项攻击的内容分别影响了Linux操作系统和无线802.11协议标准，受到业界的强烈关注。报告深入浅出，适合不同背景的受众。
将首次揭秘GeekPwn 2017硅谷站TCP侧信道的漏洞及利用方法。
弗为
阿里巴巴安全部·猎户座攻防实验室成员，主要关注二进制程序分析与漏洞挖掘、软件供应链安全。在结合工业界传统人工分析经验，以及学术界方法论成果上，进行多种尝试和工具规模化、自动化研究。
分析软件、破解文件和协议、漏洞分析和利用，都需掌握逆向技能。 你想不想有一个机器人，能够：
1、文件和协议格式的自动化逆向，把相关软件运行一遍就能分析的清清楚楚；
2、再也不怕“不稳定重现的漏洞分析”，而且修改的每个字节，后序流程都一览无遗；
3、发现wannacry在系统中残留的密钥（独家）；
4、无论多复杂的虚拟机壳，都能轻易找到算法的密钥。
本议题会和大家分析我们在自动化逆向能力上的部分进展。
邓永凯(ID：xfkxfk)
看雪ID：xfkxfk，绿盟科技工业物联网安全实验室研究员，从事安全产品开发、漏洞挖掘研究、安全应急响应等工作7年，目前从事工业物联网安全研究。擅长Web安全，物联网安全，代码审计，漏洞挖掘，安全开发等，在国内多个漏洞提交平台及SRC为互联网厂商、通用应用程序厂商、IoT及安防设备厂商提交大量漏洞并获官方致谢。
知名安全电子期刊《安全参考》、《书安》创始人兼负责人，逢魔安全实验室创始人。曾在SSC2017安全大会，看雪2017安全开发者峰会发表相关议题演讲。
在安全开发或者代码审计过程中，很多人认为官方手册的说明方法应该都是没有任何问题的，所以就直接拿过来使用或者跳过审计，然而这些标准的函数方法中也存在各种各样的安全风险，在某些场景下这些正常的非危险函数方法将被黑客恶意利用从而导致安全漏洞。
本议题将介绍大量潜伏于PHP Manual中的存在潜在安全风险的非危险函数方法，以及这些函数方法的非常有意思的Tricks。
对于开发者而言，这些看似正常但是存在潜在威胁的函数方法经常会出现项目代码中；对于安全人员而言，这些函数方法的Tricks经常被应用在代码审计、CTF挑战、漏洞利用Bypass当中。
胡铭德
硬件、编程爱好者，从事信息安全20余年。曾在XPwn 2016 发表Sony 笔记本电脑后门口令破解演讲。
现担任北京知道创宇先进技术部总监、工业控制系统信息安全国家安全技术国家工程实验室分部主任。
随着区块链技术的兴起，国内国外出现很多硬件钱包厂家。由于大多厂家对安全理解不到位，出现很多设计架构问题。很多比特币硬件钱包基于手机平台开发（mtk），存在很多不安全性和脆弱性。
本议题将展示如何暴力破解两个世界知名硬件钱包，并利用该平台USB接口的漏洞，对固件修改，对手机钱包app修改，从而打开wifi蓝牙接口，进而完全控制钱包的私钥。
立即购票，到现场聆听完整议题！
识别二维码，立享2.5折优惠！
扫描二维码关注我们，更多干货等你来拿！