BSides 曼彻斯特 2018

我连续第二年参加了 BSides 曼彻斯特会议，该会议于 8 月 16 日星期四在曼彻斯特城市大学商学院举行。这是一个由专门的志愿者团队组织的技术网络安全会议。去年的会议给我留下了深刻的印象，所以我真的很想参加今年的会议。

在收集了相当数量的交换后，我参加了当天的第一个演讲，这是Joe Gardener 的演讲 Tricking binary tree: the (in)security of machine learning。Joe 研究了正在使用的机器学习安全系统，以及如何使用不同的技术“毒害”它们。这里的最终目的是展示如何绕过它们，然后如何防止此类攻击。演讲充满了大量的理论知识，并且组织得很好，以传播有时很复杂的信息。

接下来是 欢迎回家：互联网开放遥测，与 Martin Hron. 本次演讲主要着眼于物联网 (IoT) 设备和可用于报告和控制这些设备的 MQTT 协议。Martin 先是展示了如何使用 MQTT 实现家庭自动化，然后又展示了这些系统在互联网上的安全性有多差。事实上，Martin 展示了一些他从人们使用的系统中捕获的数据示例。一个例子是他从一个人的手机中捕获 GPS 信息，该信息同步回 MQTT 仪表板，并显示他们在映射上的一个区域内旅行了几天。Matin 最后展示了一个 MQTT 仪表板示例，该仪表板可以在互联网上轻松找到，并展示了人们暴露的内容。通过这个他能够打开和关闭人们的灯，播放音乐，查看门是否打开，甚至查看安全摄像头镜头。可怕的东西，我很惊讶找到这些完全不安全的仪表板是多么容易。

短暂的喝咖啡休息后，我去看了Chris Boys谈论 死亡的数字熵。Chris 谈到了公司正在为那些已经死亡或丧失行为能力的用户做些什么。以前，许多公司什么都不做，因此许多帐户被黑客入侵。这让死人仿佛一下子又活跃起来，让人心疼不已。最近，许多公司创建了非活动帐户的概念，即用户无法登录但他们的帐户仍然存在于 Internet 上。本次演讲还着眼于更广泛的数字腐烂概念，其中网站、图片和链接在没有警告的情况下丢失。

午饭后，我和 Sam Thomas一起去看了 Jim 的一个 PHP 反序列化漏洞，但不是我们所知道的。主要查看 PHP Phar 文件，这是对如何使用它们将代码交付到易受攻击的系统的调查和演示。Sam 演示了他可以创建一个包含 jpeg 标头和 Phar 负载的多语言文件，并使用它在许多不同的基于 PHP 的 CMS 系统上执行 PHP 代码。

然后我去看了Burp Replicator：自动复制复杂的漏洞，和 Paul Johnston 一起。Burp Replicator 是 Burp Suite 的扩展，它允许安全顾问将漏洞发送给开发人员，以便他们可以测试相同的情况以确保漏洞被修复。修复后，复制器工具会显示漏洞的状态，并允许安全顾问重新测试缓解措施。不幸的是，保罗在演讲中遇到了一堆技术问题，但他能够充分展示这个工具，让每个人都明白发生了什么。

当天倒数第二个演讲是与James Kettle 的，他谈到了 实用的网络缓存中毒：重新定义“不可利用”. James 展示了他是如何开始尝试通过向网站抛出随机标题来毒害缓存系统的想法的。他证明网站正在使用这些标题并更改页面以包含来自这些标题的信息。这不是问题，直到缓存层参与并缓存更改后的响应。RedHat 和 Unity 3D 等网站容易受到攻击，他能够仅使用标头将代码注入其中，并将它们缓存起来供其他用户使用。然后他开始谈论一个名为 X-Original-URL 的标题，我觉得它有点熟悉。James 接着展示了他在 Drupal 中发现的一个漏洞，我几周前一直在努力修补这个漏洞。该攻击是由使用此 X-Original-URL 标头和暴露该中毒缓存的外部缓存系统毒害 Drupal 内部缓存引起的。他最后说对这种情况最好的防御是不使用缓存系统，尽管他确实说这对大多数站点来说是不可能的。归根结底，缓存中毒不是理论上的，框架通常可以隐藏致命的漏洞，而这些漏洞很难被发现，因为缓存系统可以隐藏这一点。演讲结束后，我上前感谢 James 在 Drupal 安全补丁方面所做的努力。缓存中毒不是理论上的，框架通常可以隐藏致命的漏洞，而这些漏洞很难被发现，因为缓存系统可以隐藏这一点。演讲结束后，我上前感谢 James 在 Drupal 安全补丁方面所做的努力。缓存中毒不是理论上的，框架通常可以隐藏致命的漏洞，而这些漏洞很难被发现，因为缓存系统可以隐藏这一点。演讲结束后，我上前感谢 James 在 Drupal 安全补丁方面所做的努力。

这一天的最后谈话是 傻瓜事件响应来自 朱利安Pileggi。详细说明在注意到攻击后如何处理系统，包括有关调查所述攻击的一些注意事项。Julian 然后开始调查对 Windows 机器的攻击，这真的很有趣，但从我至少 6 年没有使用 Windows 的角度来看，这并不是很有用。 

总的来说，这是一次非常好的会议，让我思考了一些重要的主题。所有演讲的视频都可以从 BSides 网站上获得，所以我将赶上今年我没有看到的一些演讲。我已经很期待明年的会议了！