【BlackHat2016】 专为防御与攻击打造的9款免费安全工具
E安全8月4日讯 美国时间2016年8月3日，黑帽大会在拉斯维加斯曼德勒海湾酒店(Mandalay Bay)正式召开，其中当然将带来众多可用于实现安全保障的重要工具——不过如果落入恶意人士手中，其也将成为凶险的攻击利器。
研究人员将立足于自己的实验环境，就此类攻击工具在企业防御与安全专家研究层面所能带来的价值做出说明。
另外，各位主讲人还将具体讲解其针对各类设备、协议与技术所使用的安全漏洞，范畴涵盖HTTP、物联网设备以及技术渗透测试工具。
下面E安全将为大家分享将在黑帽大会上发布的部分免费工具，了解它们将带来哪些指导性启示。
HTTP/2 & QUIC - 让好协议做坏事
主讲人：思科公司高级安全顾问Carl Vincent与思科公司高级安全顾问Catherine（Kate） Pearce。
两位研究人员将着眼于HTTP/2与QUIC这两款来自复用连接中的Web协议。他们表示其利用过程有种似曾相识的感觉，因为此次公布的安全漏洞不禁让人联想起两年之前流出的多路径TCP（简称MPTCP）漏洞。当时他们发现MPTCP会在会话过程中变更路径与端点，这将使得安全人员很难对流量内容加以保护。“本次演讲将介绍QUIC与HTTP/2，探讨MPTCP之外的复用攻击，着眼于如何在QUIC与HTTP/2之内运用这些技术，同时分析如何在自有网络上面向H2/QUIC流量实现安全保护，”演讲描述当中如此解释道。他们还将发布与上述技术相关的多款工具。
利用机器学习实现数据泄露及其它有趣主题
Cylance公司高级安全研究员Brian Wallace，Cylance公司首席数据科学家Matt Wolff与Cylance公司数据科学家Xuan Zhao
该团队利用机器学习处理安全数据，从而帮助分析师们就网络所面对的实际事故状况做出决策。他们强调称，对于机器学习技术的理解缺失可能会导致大家在问题分析过程中处于被动地位。“我们将探讨整个实施流程，从设计思路到用于解决相关安全问题的功能工具，其中包括机器学习的进攻性与防御性用法，”他们在演讲摘要中写道。他们还打算发布自己在研究中所使用的全部工具、源代码与数据集，而且其中包含有一款用于数据泄露的混淆工具、一套网络映射工具以及一套命令与控制面板识别模块。
入侵蓝牙智能设备——一款新型BLE代理工具
SecuRing公司IT安全顾问Slawomir Jasek
物联网领域包含大量采用蓝牙低功耗技术的设备，但其却往往未能发挥此项技术中的安全功能。“相当相当多的设备并没有（或者说受到使用场景的限制而无法）利用这些机制，”研究员Slawomir Jasek在他的演讲摘要中写道。相反，安全需要由高级通用属性（简称GATT）配置实现，从而保护物联网设备与其控制器——例如智能手机——之间的通信内容。他同时表示，入侵物联网设备并篡改手机连接其实非常简单，而这将直接导致中间人（简称MITM）攻击的出现。“大家不妨设想一下，主动拦截BLE通信可能带来多少攻击事件！”他写道。他还将发布一款BLE MITM代理工具，其将“开启物联网设备利用、篡改与调试的全新篇章。”
安全渗透测试：来自学习材料与工具的安全漏洞
HORNE Cyber公司网络运营主管Wesley McGrew
这位主讲人提到，渗透测试人员通常会利用广泛存在的资料进行技能学习，而这也许会令客户数据与渗透测试规程面临保护力度不足的状况。“恶意人士会以误导的方式攻击并迷惑渗透测试人员，而且考虑到当前实践情况，这可能带来非常可怕的影响，”他解释称。McGrew将演示用以劫持测试人员操作流程的相关技术，并发布他在演示中所用到的全部工具。
在停车场及其它位置投放U盘真能实现攻击目标吗？
谷歌公司反欺诈与滥用研究负责人Elie Bursztein
大家都知道，如果我们在停车场中丢下一枚U盘，那么其有很高机率会被拾取者插入自己的计算机。Bursztein表示，他在研究当中共向停车场投放了300枚U盘，其中98%为他人所拾取，而且有48%不仅被接入计算机、其中的文件还被对方打开。他的演讲将分析人们拾取U盘的心理动机，并发布一款工具帮助应对此类攻击。
关注投弹行为：审计压缩算法造成的严重后果
NCC Group公司高级安全顾问Cara Marie
解压炸弹攻击使用的是特制的压缩归档文件，其在解压过程中会占用大量资源甚至直接导致系统崩溃。但并非所有压缩算法都能够实现这样的效果。Marie对大量算法做出了审计，旨在了解哪些算法最适合用于炸弹攻击。这些算法将在本次演讲中进行发布，研究人员则可利用其测试自己应对此类攻击的能力。
利用反序列化漏洞窃取Java信息
Code White公司安全漏洞研究负责人Matthias Kaiser
Java环境下的信息收发依赖于序列化机制，即将多个对象转换成字节序列。反序列化则代表着由序列转换回对象。目前已经出现的Java反序列化攻击能够对使用Java信息收发机制的应用实施攻击。Kaiser将探讨这些漏洞的具体利用方式，同时发布Java Messaging Exploitation工具以帮助用户识别并利用此类系统。
访问密钥并不像想象中那么安全
NCC Group首席安全工程师Loic Simon
主讲人Loic Simon给出这样的示例：用于访问Amazon Web Services基础设施的密钥通常以非加密方式进行存储，并可在不同开发者之间往来传递，这就造成了安全薄弱环节。大家可以使用多因素验证机制解决这个问题，但部分用户也许讨厌这种繁琐的作法。Simon将展示如何在各类验证方案当中使用多因素验证，并将发布一款工具“用于在AWS账户之内强制执行轻松便捷的多因素验证API访问机制。”
病毒视频——在视频转换器中利用SSRF
Mail.ru Group软件开发者Maxim Andreev、Mail.ru Group信息安全分析师Nikolay Ermishkin
各类免费FFmpeg库提供多种工具以转换多媒体文件格式，其中包括将播放列表转换为指向其它文件的链接。在此次演讲中，主讲者将探讨如何在处理这些播放列表时实现服务器端请求伪造（简称SSRF）。其中将谈到此类SSRF活动如何影响云服务器并实现对Amazon Web Services等服务的完整访问，以及针对Facebook、Telegram、微软Azure、Flickr、Twitter服务以及Imgur等的攻击。主讲者们还将发布一款工具，用于检测并利用此项安全漏洞。
黑帽大会联系方式
Twitter: twitter.com/BlackHatEvents- #BlackHat #BHUSA
Facebook: facebook.com/blackhat
LinkedIn: linkedin.com/groups?home=&gid=37658
Flickr: flickr.com/photos/blackhatevents/
未来黑帽大会的日程
2016 Black Hat欧洲黑帽大会：英国伦敦商业设计中心
2017 Black Hat亚洲黑帽大会：新加坡滨海湾金沙酒店 2017年3月28-31
相关阅读：
E句话：供国内同行们参考！