2011黑帽大會：由黑客操控的世界
本屆黑帽大會依舊沒有讓參與者與圍觀者失望，它再次匯聚了來自世界各地的企業、政府、學術界及“地下”信息安全組織的思想領袖。在這個專業與技術水平極高的平臺上，黑客們正在向人們展示操控世界的技術。
你的房子可能被攻破
植物大戰僵尸不僅僅是游戲，如今我們家庭中的網絡就如同弱不禁風的植物，而屋外，很多僵尸正在游蕩，并隨時可能破門而入。研究員Dave Kennedy和Rob Simon 展示了他們如何利用公共電源線破壞并暗中監視一個住宅或辦公室的自動化網絡。他們研發了一種叫做X10的黑色外設，一旦其接入目標建筑附近的電源，就能通過編程來堵塞信號，控制門與燈的開關、使安全系統失效、改變室內氣候控制系統，并干擾家庭自動化網絡中的其他功能。他們還展示了X10嗅探器設備，這個設備能夠通過運動傳感器跟蹤人，還可以清楚地看到其準備入侵的房間內部的情況。
黑客根本不用破門而入就能攻陷你的家。糖尿病和信息安全研究員Jay Radcliffe演示了一個利用網絡攻擊對糖尿病患者實施謀殺的可怕案例。攻擊者利用強大的天線網絡或者無線遠程控制方法，就能對半公里之外的一個受害者進行攻擊控制胰島素泵來實施謀殺，而發起攻擊的密鑰就是那些在產品外包裝上明顯標示的胰島素泵的序列號。
在黑客高手所控制的世界中，人們已經完全沒有安全可言。在黑帽大會上，有三位研究員展示了通過人臉識別以獲得個人隱私的技術。當那些在 Facebook上傳了真實照片的學生進入網絡攝像頭時，黑客就可以通過與Facebook上的照片比對認出他們，了解他們的興趣愛好，甚至可以推算出他的社會保險號碼。
無處不在的漏洞
黑帽大會的影響力，還體現在會上所展示的各種網絡技術漏洞，以及對操作系統和網絡設備的全新攻擊方式上。在大會上發言或參加競賽的黑客高手，對各種操作系統和網絡設備中的漏洞，可謂手到擒來，8月3日頒出的Pwnie獎，便是為了表彰黑客們一年的“挖洞”成果。
最佳服務器端漏洞：這類漏洞，包括任何不通過用戶交互界面就可以實行遠程控制的軟件。漏洞示例：ASP.NET Framework Padding Oracle (CVE-2010-3332)。這是由于加密填充驗證過程中處理錯誤不當而導致 ASP.NET 中存在一個信息披露漏洞。成功利用此漏洞的攻擊者可以讀取服務器加密的數據，篡改數據。雖然攻擊者無法利用此漏洞來執行代碼或直接提升用戶權限，但可利用漏洞產生信息，進一步危及系統的安全。在 Microsoft .NET Framework 3.5 Service Pack 1 及更高版本中，攻擊者還可利用此漏洞檢索ASP.NET 應用程序中任何文件(包括 web.config)的內容。
最佳客戶端漏洞：客戶端不僅僅是網頁瀏覽器，媒體播放器整數溢出也會制造巨大的漏洞。漏洞示例：FreeType vulnerability in iOS (CVE-2011-0226)。FreeType 2.4.6之前版本的psaux/t1decode.c存在整數符號錯誤，允許遠程攻擊者通過一個PDF文檔中的特制Type 1字體執行任意代碼或者引起拒絕服務(內存破壞和應用程序崩潰)，該漏洞曾在2011年7月被利用。
最佳提權漏洞：隨著企業安全意識的不斷加強以及越來越多地開始部署虛擬化系統，提權漏洞變得越來越重要。這些漏洞包括本地操作系統提權、避開操作系統沙盒、虛擬機來賓賬號突破等。漏洞示例：Windows kernel win32k user-mode callback vulnerabilities (MS11-034)。該漏洞導致Windows內核模式驅動程序允許特權提升。
本屆黑帽大會的最具影響力失敗獎頒給了索尼，最具影響力入侵獎頒給了stuxnet。這也顯示出了一種趨勢，具有巨大影響力和破壞力的攻擊越來越多地聚集在商業與工業網絡中。黑帽大會所展示的不僅是黑客的攻擊能力，也有安全與設備廠商防護及修補產品缺陷的安全能力，雙方在“魔”與“道”的較量中必將共同成長。
【編輯推薦】
