搜索

[14874] 2019-11-28_年度技术盛宴，CIS2019X-Tech技术派对议题回顾

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-11-28_年度技术盛宴，CIS2019X-Tech技术派对议题回顾 年 度 技 术 盛 宴 ， C I S   2 0 1 9   X - T e c h 技 术 派 对 议 题 回 顾 A k a n e   F r e e B u f   2 0 1 9 - 1 1 - 2 8 1 1 月 月 2 8 日 ， 日 ， C I S   2 0 1 9 网 络 安 全 创 新 大 会 网 络 安 全 创 新 大 会 D a y   2 精 彩 继 续 。 一 年 一 度 的 安 全 盛 宴 ， 自 然 少 不 了 一 年 一 场 的 「 精 彩 继 续 。 一 年 一 度 的 安 全 盛 宴 ， 自 然 少 不 了 一 年 一 场 的 「 X - T e c h 技 术 派 对 」 。 这 是 一 场 真 正 的 属 于 安 全 人 的 年 度 盛 会 ， 了 不 起 的 研 究 者 们 和 技 术 派 对 」 。 这 是 一 场 真 正 的 属 于 安 全 人 的 年 度 盛 会 ， 了 不 起 的 研 究 者 们 和 “ 黑 科 技 黑 科 技 ” 成 果 交 相 辉 映 、 第 一 成 果 交 相 辉 映 、 第 一 代 黑 客 前 辈 与 新 生 代 白 帽 子 同 台 畅 谈 。 在 这 里 ， 他 们 的 思 想 将 碰 撞 出 最 璀 璨 的 火 花 。 代 黑 客 前 辈 与 新 生 代 白 帽 子 同 台 畅 谈 。 在 这 里 ， 他 们 的 思 想 将 碰 撞 出 最 璀 璨 的 火 花 。 提 起 安 全 圈 的 前 辈 们 ， 你 会 第 一 个 想 起 谁 ？ 提 起 安 全 圈 的 前 辈 们 ， 你 会 第 一 个 想 起 谁 ？ 「 X - T e c h 技 术 派 对 」 由 无 糖 信 息 创 始 人 兼 C E O 张 瑞 东 （ O n l y _ g u e s t ） 担 纲 主 持 。
吨 吨 吨 正 式 开 场 前 ， 主 持 人 抛 出 一 个 小 彩 蛋 — — 今 天 的 现 场 带 来 一 个 神 秘 道 具 ， 大 家 都 来 猜 猜 是 啥 ？ 树 莓 派 ！ 伪 基 站 ！ N i n t e n d o   S w i t c h ！ … … 好 像 越 来 越 偏 了 ， 主 持 人 提 示 该 道 具 可 以 吃 之 后 ， 终 于 有 人 猜 中 了 ， 这 是 一 块 大 蛋 糕 。 送 给 看 雪 论 坛 二 十 周 岁 的 礼 物 。 1 9 9 9 - 2 0 1 9 。 不 知 不 觉 ， 看 着 看 雪 长 大 的 孩 子 ， 已 经 成 为 我 国 网 络 安 全 第 一 线 的 生 力 军 。 看 雪 创 始 人 段 钢 的 开 幕 致 辞 上 ， 本 以 为 他 会 讲 讲 故 事 ， 聊 聊 情 怀 。 没 想 到 他 还 是 以 技 术 开 场 ， 从 二 进 制 到 W e b 漏 洞 挖 掘 再 到 A I 、 I o T 领 域 ， 安 全 太 大 了 。 因 此 ， 资 源 共 享 与 合 作 共 建 ， 一 定 是 未 来 安 全 发 展 的 大 势 所 趋 。 生 日 会 也 要 聊 技 术 ， 也 许 这 就 是 安 全 人 最 后 的 倔 强 吧
再 谈 为 协 议 再 谈 为 协 议 伪 协 议 作 为 应 用 间 的 一 种 唤 醒 机 制 ， 广 泛 存 在 于 各 类 应 用 软 件 中 ， 用 以 提 供 一 些 便 捷 的 功 能 。 与 此 同 时 ， 浏 览 器 作 为 伪 协 议 最 常 见 的 调 用 媒 介 ， 一 旦 浏 览 器 调 用 伪 协 议 的 机 制 或 是 被 唤 醒 的 应 用 软 件 对 于 伪 协 议 的 处 理 机 制 存 在 问 题 时 ， 那 么 ， 伪 协 议 便 会 成 为 攻 击 者 的 入 口 。 无 糖 信 息 C T O   g a i n o v e r 带 来 主 题 分 享 《 再 谈 伪 协 议 》 ， 其 实 2 0 1 6 年 他 就 曾 经 公 开 发 表 过 关 于 伪 协 议 的 研 究 成 果 ， 两 年 后 再 看 ， 又 有 了 全 新 的 理 解 与 思 考 ， 今 天 与 大 家 一 同 深 入 探 讨 。 g a i n o v e r 回 顾 部 分 软 件 及 浏 览 器 等 漏 洞 案 例 （ 均 已 修 复 ） ， g a i n o v e r 对 之 进 行 了 更 加 系 统 性 的 研 究 。 哪 些 伪 协 议 可 以 利 用 ？ 还 有 哪 些 可 以 利 用 的 点 ？ 系 统 自 带 的 协 议 可 以 被 利 用 吗 ？ 如 何 利 用 ？ 以 W S F 文 件 为 例 ， 它 的 顶 端 是 一 个 p a c k a g e ， 里 面 分 为 多 个 j o b ， 不 同 的 j o b 可 以 调 用 不 同 的 脚 本 语 言 ， 当 尝 试 把 p a c h a g e 去 掉 的 时 候 ， 既 可 以 以 p a c k a g e 多 数 根 节 点 ， 也 可 以 以 j o b 作 为 根 节 点 ， 但 是 不 能 存 在 多 个 j o b 。 g a i n o v e r 第 一 次 尝 试 写 一 个 j o b 进 来 ， j o b 里 面 是 需 要 执 行 的 代 码 ， 它 会 出 现 4 次 。 但 是 这 个 W S F 脚 本 你 去 执 行 它 ， 它 一 定 会 报 错 ， 就 是 刚 才 那 个 错 误 。 它 只 告 诉 一 次 网 址 ， 那 这 个 利 用 就 成 功 了 ， 关 键 它 出 现 了 4 次 之 后 ， 正 好 违 反 了 W S F 不 能 有 多 个 j o b 的 规 则 ， 又 执 行 不 了 了 。 他 们 是 如 何 把 它 变 的 可 以 利 用 呢 ？ 通 常 来 说 注 释 ， 发 现 行 不 通 ， 要 两 个 还 比 较 好 做 ， 但 是 4 个 内 容 可 做 的 时 候 已 经 超 出 范 围 了 。 有 另 外 一 个 尝 试 ， g a i n o v e r 发 现 根 上 面 虽 然 不 允 许 多 个 j o b ， 但 是 j o b 可 以 嵌 套 的 j o b 里 面 的 j o b 不 会 解 析 ， 没 有 作 用 的 。 这 样 一 来 ， 怎 么 样 才 能 构 造 出 这 样 一 个 包 呢 ？ 这 也 4 个 ， 这 也 4 个 ， 如 果 分 两 次 向 里 面 写 日 志 是 不 是 就 可 以 呢 ？ E X E 的 参 数 写 日 志 的 时 候 有 个 感 叹 号 和 加 号 ， 意 味 着 感 叹 号 重 新 写 ， g a i n o v e r 新 写 一 个 日 志 ， 加 号 在 原 有 日 志 上 追 加 ， 这 样 一 来 正 好 就 跟 刚 才 的 利 用 方 法 相 契 合 了 。 我 们 可 以 先 写 4 个 j o b 进 去 ， 再 写 4 个 闭 合 的 j o b 进 去 ， 然 后 拼 在 一 起 就 写 一 个 可 的 W S F 文 件 进 去 。 接 着 我 们 可 以 直 接 调 用 V B E F i l e ， 这 样 两 个 加 起 来 ， 就 可 以 实 现 。 对 于 提 示 框 屏 蔽 掉 的 浏 览 器 ， 在 无 感 知 的 情 况 下 ， 只 要 执 行 三 次 伪 协 议 ， 前 面 两 个 写 伪 协 议 ， 加 最 后 一 个 执 行 V B E F i l e 我 们 ， 就 可 以 形 成 一 个 R C E 。 此 外 ， g a i n o v e r 还 提 到 很 多 关 于 伪 协 议 的 防 御 方 式 。 知 攻 才 能 知 防 ， 把 利 用 方 式 摸 透 了 ， 相 关 的 防 御 方 法 也 就 一 目 了 然 了 。 R e d T e a m 视 角 下 的 二 进 制 攻 防 研 究 视 角 下 的 二 进 制 攻 防 研 究
极 光 无 限 漏 洞 研 究 负 责 人 仙 果 带 来 主 题 分 享 《 R e d T e a m 视 角 下 的 二 进 制 攻 防 研 究 》 ， 从 二 进 制 选 手 的 角 度 出 发 ， 看 看 攻 防 演 练 除 了 漏 洞 挖 掘 ， 还 能 玩 出 哪 些 新 花 样 。 仙 果 做 了 很 长 时 间 的 看 雪 漏 洞 版 块 版 主 ， 也 发 了 很 多 漏 洞 分 析 的 文 章 。 这 个 议 题 其 实 很 少 涉 及 具 体 技 术 （ 但 是 干 货 绝 对 不 少 ） ， 更 多 讲 的 是 思 维 和 想 法 。 比 如 对 抗 的 思 维 ， 对 手 是 如 何 思 考 的 这 个 问 题 ？ 还 有 人 与 人 之 间 的 意 识 区 别 ，   中 国 人 和 外 国 人 的 想 法 有 哪 些 不 同 之 处 ， 有 哪 些 可 以 为 我 们 所 利 用 ？ 思 维 陷 阱 又 是 什 么 ？ 仙 果 带 着 这 些 问 题 ， 仙 果 主 要 为 我 们 分 享 了 五 点 具 体 内 容 ： 红 蓝 对 抗 的 定 位 红 蓝 对 抗 的 定 位 、 K i l l   C h a i n 的 作 用 域 的 作 用 域 、 不 仅 仅 是 响 应 和 溯 不 仅 仅 是 响 应 和 溯 源 源 、 技 术 提 升 途 径 技 术 提 升 途 径 ， 最 后 是 薪 资 薪 资 。 为 什 么 要 讲 薪 资 ？ 因 为 仙 果 是 以 各 大 安 全 公 司 招 聘 情 况 为 线 索 ， 讲 R e d T e a m 建 设 、 技 巧 、 提 升 等 心 得 。 所 以 绕 不 开 地 ， 最 后 肯 定 得 归 到 钱 上 。 据 仙 果 介 绍 ， 二 进 制 能 力 突 出 的 安 全 人 才 ， 市 场 需 求 价 格 7 位 数 起 ， 毫 不 夸 张 。 重 点 为 大 家 介 绍 一 下 技 术 提 升 部 分 。 仙 果 在 分 享 中 称 ， 技 术 提 高 的 途 径 ， W e b 安 全 的 学 习 曲 线 是 比 较 平 滑 的 ， 只 要 你 去 经 过 一 段 时 间 的 培 养 ， 去 接 触 很 多 学 习 的 方 法 ， 你 会 慢 慢 掌 握 很 深 的 技 能 。 但 是 逆 向 方 面 就 不 一 样 ， 它 的 学 习 曲 线 非 常 陡 峭 和 旋 转 性 的 ， 需 要 掌 握 的 能 力 也 比 较 多 。 一 、 文 笔 能 力 。 二 进 制 做 的 事 情 跟 W e b 、 渗 透 人 员 来 讲 难 度 很 大 ， 性 能 底 层 内 容 艰 深 难 懂 ， 怎 么 把 这 些 能 力 、 技 术 记 录 下 来 并 分 享 出 去 。 二 、 W e b 方 面 的 能 力 。 三 、 工 具 使 用 能 力 ， 只 不 过 是 内 部 使 用 。 二 进 制 团 队 同 样 需 要 具 备 渗 透 能 力 ， 要 懂 得 培 养 那 种 比 较 骚 的 思 维 方 法 。 四 、 第 四 个 是 项 目 和 产 品 能 力 ， 这 个 能 力 针 对 二 进 制 会 有 点 难 度 ， 但 是 需 要 有 。 一 般 来 说 ， 他 不 可 能 只 提 供 工 具 或 者 E X P ， 效 果 不 大 ， 这 时 候 就 需 要 有 产 品 化 和 项 目 的 能 力 ， 能 把 所 使 用 的 ， 所 需 要 使 用 的 工 具 结 合 起 来 ， 有 服 务 于 团 队 的 一 套 产 品 。 五 、 客 户 能 力 。 这 个 问 题 很 少 有 人 去 提 及 ， 仙 果 自 称 在 之 前 的 工 作 中 做 过 一 段 时 间 的 客 服 ， 给 领 导 和 专 家 解 答 很 基 础 的 问 题 ， 给 他 们 解 答 什 么 叫 漏 洞 ， 什 么 叫 W e b 漏 洞 ， 什 么 叫 跨 栈 等 。
六 、 组 织 能 力 。 从 目 前 的 攻 防 态 势 来 看 ， 一 个 人 不 可 能 掰 成 4 、 5 个 人 来 用 ， 必 须 团 队 分 工 ， 如 何 更 好 、 更 快 地 做 出 相 应 的 成 果 ， 需 要 有 比 较 强 的 组 织 能 力 。 最 后 ， 仙 果 还 分 享 了 他 收 藏 的 工 具 ， 对 二 进 制 及 渗 透 都 会 有 所 帮 助 。 i O S   U R L   s c h e m e 之 殇 之 殇 苹 果 通 过 机 制 限 制 ， 每 个 应 用 可 以 访 问 的 资 源 是 有 限 的 ， 以 管 理 应 用 安 全 和 隐 私 的 问 题 ， 该 机 制 也 有 一 定 的 安 全 问 题 。 上 午 第 一 个 议 题 已 经 讲 过 伪 协 议 带 来 的 威 胁 。 南 京 趋 势 科 技 高 级 安 全 研 究 员 L i l a n g   W u 的 议 题 《 i O S   U R L   s c h e m e 之 殇 》 ， 将 为 我 们 讲 解 一 下 i O S 上 的 伪 协 议 ， 就 是 i O S   U R L   s c h e m e 对 i O S 平 台 带 来 的 威 胁 。 L i l a n g   W u 回 顾 了 几 个 经 典 漏 洞 案 例 之 后 ， L i l a n g   W u 重 点 介 绍 了 i O S   U R L   s c h e m e 的 威 胁 。 首 先 是 数 据 劫 持 的 威 胁 首 先 是 数 据 劫 持 的 威 胁 我 们 在 国 内 比 较 流 行 的 社 交 网 络 ， 比 如 说 X X 、 Y Y 或 者 Z Z ， 他 们 都 会 提 供 第 三 方 认 证 登 录 的 功 能 。 我 们 以 和 X X 和 微 信 为 例 ， 讲 解 一 下 整 个 登 录 的 过 程 。 首 先 X X 的 客 户 端 会 发 送 一 个 l o g i n 的 r e q u e s t ， X X 拿 到 t o k e n 之 后 去 微 信 的 服 务 器 上 请 求 登 录 ， 微 信 会 验 证 这 个 t o k e n ， 认 证 之 后 返 回 认 证 的 结 果 ， X X 拿 到 结 果 是 否 可 以 去 登 录 A P P 。 这 里 列 举 出 X X 请 求 微 信 认 证 登 录 T o k e 的 U R L   s c h e m e ， 和 微 信 返 回 X X 认 证 登 录 T o k e 的 U R L     s c h e m e 。 在 请 求 T o k e n 里 的 s c h e m e 中 发 现 ， 我 们 发 现 红 色 框 里 面 的 X X 注 册 用 来 与 微 信 通 讯 的 s c h e m e ， 就 是 s c h e m e 的 头 ， 这 个 就 是 X X 注 册 的 A p p     I D ， 这 个 s c h e m e 对 所 有 的 用 户 都 是 相 同 的 。 任 何 一 个 用 户 想 请 求 微 信 授 权 登 录 的 话 ， 都 会 发 送 这 样 一 个 s c h e m e 。 微 信 在 返 回 给 X X   t o k e n 的 s c h e m e 当 中 ， 发 现 t o k e n 直 接 在 s c h e m e 中 使 用 明 文 的 方 式 进 行 传 输 ， 这 时 候 就 给 我 们 带 来 数 据 劫 持 的 威 胁 。 在 讲 利 用 之 前 ， 我 们 先 介 绍 一 下 不 同 B u n d l e   I D   A P P 的 U R L   s c h e m e 特 性 ， i O S   1 1 之 前 同 一 个 U R L     s c h e m e 可 以 被 任 意 多 个 A P P 声 明 和 使 用 ， 响 应 的 顺 序 也 没 有 说 明 。 I O S 1 1 以 后 ， 同 一 个 U R L     s c h e m e 也 可 以 被 多 个 A P P 申 请 和 使 用 ， 但 是 遵 循 的 是 先 到 先 服 务 的 原 则 地 这 时 候 整 个 利 用 场 景 我 们 可 以 按 照 下 面 的 思 路 来 进 行 ， 首 先 给 用 户 安 装 一 个 应 用 ， 这 时 候 我 们 就 可 以 发 送 上 述 刚 才 列 举 出 来 的 s c h e m e ， 向 目 标 用 户 手 机 上 的 微 信 请 求 登 录 的 t o k e n ， 微 信 拿 到 请 求 之 后 ， 继 续 上 述 的 过 程 ， 这 时 候 微 信 会 请 求 相 应 的 t o k e n ， 并 将 相 应 的 t o k e n 而 返 回 给 恶 意 的 应 用 ， 恶 意 应 用 拿 到 t o k e n 之 后 ， 我 们 就 可 以 在 一 台 第 三 方 的 手 机 上
使 用 s c h e m e 打 开 和 登 录 X X 的 A P P 。 这 个 就 是 我 们 具 体 的 利 用 方 式 ， 从 右 边 这 张 图 可 以 看 到 ， 这 个 是 我 们 劫 持 到 的 U R L     s c h e m e 认 证 登 录 的 t o k e n ， 在 拿 到 这 个 t o k e n 之 后 ， 我 们 就 可 以 通 过 其 他 的 浏 览 器 打 开 U R L     s c h e m e ， 这 时 候 系 统 就 会 自 动 帮 我 们 识 别 X X 这 个 A P P ， 通 过 t o k e n 自 动 登 录 X X 。 第 二 种 是 账 单 欺 诈 的 威 胁 第 二 种 是 账 单 欺 诈 的 威 胁 我 们 以 微 信 和 Y Y 为 例 ， 想 象 一 个 场 景 ， 平 时 我 们 在 打 车 的 时 候 ， 我 们 使 用 Y Y ， 一 般 采 用 两 种 方 式 来 支 付 打 车 的 账 单 。 第 一 种 方 式 绑 卡 消 费 或 者 授 权 微 信 ， 或 者 支 付 宝 ， 来 自 动 支 付 生 成 的 打 车 订 单 。 这 种 方 式 是 在 后 台 进 行 的 ， 所 以 这 种 方 式 不 是 我 们 今 天 所 讲 的 U R L     s c h e m e 的 漏 洞 威 胁 ， 所 以 这 个 相 对 来 说 比 较 安 全 。 第 二 种 方 式 ， 有 很 多 人 不 适 用 自 动 支 付 的 功 能 ， 可 能 说 我 们 先 让 Y Y 生 成 这 样 一 个 打 车 订 单 ， 然 后 我 们 去 手 动 支 付 这 样 的 订 单 ， 手 动 通 过 支 付 宝 或 者 是 微 信 支 付 这 样 一 个 订 单 。 支 付 的 过 程 也 是 使 用 U R L     s c h e m e 来 完 成 的 ， 所 以 这 种 支 付 方 式 是 存 在 一 定 的 安 全 风 险 。 刚 才 讲 到 的 ， 我 们 可 以 劫 持 生 成 账 单 的 U R L   s c h e m e ， 但 是 这 个 地 方 利 用 的 过 程 ， 并 不 是 劫 持 目 标 用 户 的 账 单 U R L s c h e m e ， 攻 击 者 只 需 要 把 自 己 手 机 上 ， Y Y 生 成 的 账 单 U R L   s c h e m e 保 存 下 来 ， 我 们 以 钓 鱼 或 者 其 他 的 方 式 诱 导 用 户 点 击 U R L   s c h e m e ， 完 成 相 应 的 支 付 过 程 。 这 种 应 用 方 式 完 全 在 攻 击 者 这 边 ， 比 上 面 数 据 劫 持 的 利 用 方 式 远 远 简 单 得 多 。 为 了 验 证 功 能 ， 洪 宇 还 专 门 去 打 一 次 车 ， 生 成 了 这 样 一 个 U R L   s c h e m e 。 这 时 候 他 把 U R L   s c h e m e 通 过 的 短 信 的 方 式 发 送 给 用 户 。 Y Y 产 生 的 账 单 如 果 长 时 间 没 有 支 付 ， 他 们 会 发 送 一 条 短 信 告 诉 用 户 需 要 支 付 账 单 。 我 们 把 刚 才 劫 持 到 的 U R L   s c h e m e 嵌 入 到 短 信 当 中 ， 诱 导 用 户 点 击 链 接 。 用 户 点 击 链 接 之 后 就 会 跳 转 到 微 信 的 支 付 窗 口 ， 这 个 信 息 没 有 任 何 识 别 的 功 能 ， 我 们 从 直 观 的 角 度 上 不 能 知 道 这 个 账 单 是 不 是 自 己 的 。 很 多 用 户 觉 得 使 用 这 种 方 式 ， 认 为 这 个 账 单 是 自 己 的 ， 所 以 他 就 支 付 了 这 个 账 单 ， 从 而 造 成 账 单 欺 诈 。 上 述 提 到 的 X X 和 Y Y 以 及 Z Z ， 均 已 在 今 年 1 0 月 修 复 了 相 应 漏 洞 。 但 鉴 于 测 试 范 围 有 限 ， 部 分 类 似 A P P 肯 定 依 然 存 在 问 题 ， 厂 商 应 该 立 刻 引 起 重 视 ， 个 人 用 户 也 需 要 注 意 ， 避 免 遭 受 不 必 要 的 损 失 。 硬 件 盒 子 安 全 分 解 硬 件 盒 子 安 全 分 解 在 新 技 术 、 新 服 务 带 来 利 益 的 同 时 ， 黑 客 攻 击 手 段 不 断 升 级 ， 也 引 发 了 新 的 安 全 风 险 和 挑 战 ， 给 企 业 带 来 了 不 安 。 越 来 越 多 的 企 业 开 始 着 手 部 署 硬 件 盒 子 ， 如 何 最 大 程 度 的 利 用 已 有 的 资 源 部 署 盒 子 ， 降 低 企 业 安 全 投 入 的 成 本 ， 为 新 一 轮 的 安 全 布 局 争 取 更 长 的 过 渡 期 ， 是 企 业 正 在 面 临 的 安 全 问 题 。
H a c k   P a n d a 针 对 这 个 问 题 ， 斗 象 科 技 资 深 安 全 研 究 员 H a c k P a n d a 为 为 我 们 带 来 主 题 分 享 ， 从 磁 盘 加 密 、 定 制 系 统 、 硬 件 盒 子 的 用 户 s h e l l 、 硬 件 盒 子 的 升 级 过 程 以 及 内 存 安 全 等 方 面 对 《 硬 件 盒 子 安 全 分 解 》 进 行 了 详 细 讲 解 。 R e f l e c t i o n   o n   t r u s t i n g   t r u s t 程 序 是 从 一 个 编 译 器 而 来 ， 编 译 器 又 是 从 另 一 个 编 译 器 编 译 而 成 的 。 这 句 话 听 起 来 是 在 绕 口 令 ， 但 这 个 问 题 也 是 由 编 译 器 引 起 的 诸 多 问 题 之 一 。 源 代 码 层 面 的 审 核 和 检 查 无 论 多 少 都 不 能 保 护 你 免 受 不 可 信 代 码 的 威 胁 ， 而 当 程 序 的 层 级 变 得 更 低 ， 这 些 b u g 也 会 变 得 越 来 越 难 以 发 现 ， 一 个 在 微 代 码 中 隐 藏 好 的 b u g 几 乎 不 可 能 被 我 们 发 现 。 洪 宇 赛 博 英 杰 技 术 合 伙 人 洪 宇 为 我 们 来 带 的 压 轴 演 讲 ， 《 现 代 抗 抵 赖 后 门 研 究 ： R e f l e c t i o n   o n   t r u s t i n g   t r u s t 》 ， 我 们 要 反 思 反 思 信 任 信 任 。
所 有 的 程 序 都 是 由 编 译 器 编 译 源 码 获 得 ， 编 译 器 其 实 也 是 个 程 序 ， 编 译 器 是 哪 里 来 的 ？ 也 是 编 译 器 编 出 来 的 ， 编 译 器 的 编 译 器 哪 里 来 的 ？ 是 编 译 器 的 编 译 器 的 编 译 器 编 出 来 的 。 我 们 平 时 怎 样 判 断 程 序 的 安 全 性 ？ 很 直 接 的 办 法 ， 去 检 查 源 码 。 程 序 是 从 编 译 器 来 的 ， 我 们 再 检 查 编 译 器 的 源 码 。 编 译 器 又 是 由 另 外 一 个 编 译 器 编 译 而 来 的 ， 一 层 一 层 扣 下 去 ， 到 底 是 鸡 生 蛋 还 是 蛋 生 鸡 ？ 通 过 过 去 的 缓 冲 区 投 毒 及 供 应 链 攻 击 案 例 回 顾 ， 洪 宇 提 到 ： 我 不 信 任 b u i l d ， 我 只 信 任 自 己 从 源 码 里 面 编 译 。 整 个 过 程 当 中 解 决 最 大 问 题 是 我 们 对 代 码 的 信 任 是 从 源 码 做 的 信 任 ， 还 是 从 编 译 器 做 的 信 任 ， 还 是 从 编 译 过 程 做 的 信 任 。 这 个 问 题 就 是 所 谓 的 对 托 付 信 任 的 反 思 。 至 此 ， C I S   2 0 1 9   X - T e c h 技 术 派 对 圆 满 结 束 ， 但 是 技 术 人 们 探 究 与 分 享 的 精 神 必 将 源 远 流 长 ， 五 位 嘉 宾 的 议 题 P P T 也 会 在 后 续 分 享 给 大 家 。 更 多 关 于 C I S   2 0 1 9 的 精 彩 议 题 ， 不 妨 参 见 C I S   2 0 1 9 专 题 ， 其 他 论 坛 的 报 道 即 将 出 炉 ， 敬 请 关 注 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理