[軟體] 美國駭客年會Black Hat 2008 觀察 -- …

看板AntiVirus (防毒)作者deephoe (舞劍塵)時間17年前 (2008/08/15 17:04)推噓2(2推 0噓 1→)

留言3則, 3人參與討論串1/1

本篇轉載自：http://armorize-cht.blogspot.com/2008/08/black-hat-2008.html （這篇是一個很詳細的觀察，針對我在美國駭客年會 Black Hat 有去到的場次。對於整個 Black Hat 今年的趨勢觀察，我會另外寫一篇。）會場就在我住的旅館的對面，但是還是很早起床，因為每天都很忙，除了聽一些 talk 還有很多人要碰。今天天氣很好，有太陽時才發現我房間看出去的view還不錯： P1 [http://1.bp.blogspot.com/_hELDi5B8zOI/SKEwZp0DJPI/AAAAAAAAA6I/aHBLTzDbX8k/s1600/IMG _1099_filtered.jpg] 到了會場，今年一樣布置得很漂亮： P2 [http://3.bp.blogspot.com/_hELDi5B8zOI/SKJgLQghS9I/AAAAAAAAA8A/KwF4nqFOxeA/s1600/bh _day1_venue.jpg] P3 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKJhHUXeCdI/AAAAAAAAA8I/mHf8erJKO3s/s1600/bh _day1_press.jpg] 註冊之後，我先去找負責媒體的 Dirk 跟 Nico。不是要拿免費的 pass，我已經付全額了，但是我要拍照，需要先跟他們 check 過，確定今年大會的規則。尤其是之後的 DEFCON ，需要更加小心。結果很順利，規則都沒變，大會還給了我一個 press 的名牌，讓我可以大方的拍照... great！感謝你們，Dirk and Nico！ Black Hat 今年第12年，人非常的多，而且聽眾的技術都有一定的水準，年齡層與產業皆涵蓋得很廣，今年一共有8個track一起舉行，分別是：Root Kits、0-day、App Sec（應用程式安全）、Bots & Malware（惡意程式）、Deep Knowledge、The Network (網路安全）、Over the Air（無線網路安全）以及 Reverse Engineering （逆向工程）。 P4 [http://1.bp.blogspot.com/_hELDi5B8zOI/SKExo3F6M7I/AAAAAAAAA6Q/DEFWtIZpFeA/s1600/IMG_ 1149_filtered_cropped_730.jpg] 一去就忙著跟一大堆人打招呼，看來所有認識的廠商都到了，明年阿碼也應該要展，但是我們一年真的展太多了。還好我早到，跟所有人打完招呼就差點錯過了開場跟 keynote。大會照往例，由大會主席 Jeff 開場。看起來還是這麼年輕，而且開場簡潔，很好！ P5 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKEy5XLbS3I/AAAAAAAAA6Y/6glnEeNxWak/s1600/IMG_ 1902_filtered_cropped_730.jpg] 第一天的 keynote 由 London School of Economics （LSE）(注1)的 Ian Angel（個人網站(注2)，大會介紹(注3)）教授開場，題目是「Complexity in Computer Security- -A Risky Business」，沒有特別講什麼新的，但是把當前資安的挑戰用很好笑的方式講得很清楚： P6 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKE32vjWPQI/AAAAAAAAA6g/Ukvti-EEado/s1600/mix ed_1_730.jpg] 注1. http://www.lse.ac.uk/ 注2. http://www.lse.ac.uk/people/i.angell@lse.ac.uk/ 注3. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Angell 他的看法是，目前資安沒有解決方案，只有事件發生的可能與造成的影響（there are no solutions, only contingencies），所以我們就是，盡人事聽天命，然後保持愉快的心情（Start the day with a smile and get it over with）。您覺得呢？聽完 keynote 我們前往 Jared DeMott（個人網站(注4)，大會介紹(注5)）的逆向工程 talk，題目是：「AppSec A-Z(注6)」。Jared 是「Fuzzing for Software Security Testing and Quality Assurance(注7)」一書的作者之一，並創辦了 VDA Labs(注8)。Jared 寫了幾個免費的工具，包含 Win32 DLL injection 用的 pyfault(注9)，以及三個 fuzzing 用的工具 EFS/GPF(注10)、cmdline(注11)、以及 ikefuzz(注12)。Jared 也是2007年l@stplace二次拿下 DEFCON CTF 冠軍(注13)時的一員。注4. http://www.vdalabs.com/ 注5. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Demott 注6. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Demott 注7. http://www.amazon.com/Fuzzing-Software-Security-Testing-Assurance/dp/1596932147 注8. http://www.vdalabs.com/ 注9. http://www.vdalabs.com/tools/pyfault.html 注10. http://www.vdalabs.com/tools/efs_gpf.html 注11. http://www.vdalabs.com/tools/cmdline.html 注12. http://www.vdalabs.com/tools/cmdline.html 注13. http://nopsr.us/ctf2007/ 我是覺得，雖然題目是逆向工程，其實整個演講就是之前五月他講的「Onion, not parfait: Today's security check-up and malware for the rest of us(注14)」的衍伸，這些新的逆向技巧主要針對目前 Web 上的各種惡意程式之分析所用。看來 Web 成為散播 malware 主要管道後，由於這些 malware 加殼的方式都很特別，逼出了很多這樣的研究。注14. http://www.vdalabs.com/tools/malware.html 介紹的技巧先不說，因為我要寫這麼多天的觀察，沒辦法談細節，但是我覺得 Jared 一開始的介紹很有系統性，把惡意程式的分析分成動態與靜態兩種，然後循序漸進分門別類的介紹。我覺得這是講師該有的責任－如何講一場讓大家都聽得懂得演講，而不是自己講爽的就好，而別人只感覺「似乎很屌」但是實際上卻聽不懂。就技術而言，這次聽來聽去我都覺得這些講師用的技巧沒有Birdman在 HackAlert(注15) 中用的技巧好，Birdman 的技巧都是快、準、狠，簡單又一針見血，可能是長期被對岸訓練出來的緣故吧！注15. http://hackalert.armorize.com/ P7 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKFIj0k1fkI/AAAAAAAAA6o/ZP_jzjYcetE/s1600/IMG _1204_filtered_730.jpg] 聽到一半自己看完投影片的 PDF 檔，覺得差不多了，閃人，看看還有誰可以聽的，同時間的還有 Billy Rios(注16) 跟 Nitesh Dhanjani（個人網站(注17)，大會介紹(注18) ，作者：Network Security Tools (O'Reilly)(注19)、HackNotes :Linux and Unix Security (注20)(McGraw-Hill)）的演講，但是他們的演講我最近在其他的會中都聽過了，所以跳過，來看看 NMAP(注21) 的 Fyodor Vaskovich （個人網站(注22)，大會介紹(注23)）好了！注16. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Dhanjani 注17. http://dhanjani.com/ 注18. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Dhanjani 注19. http://oreilly.com/catalog/9780596007942/ 注20. http://www.amazon.com/HackNotes-Linux-Security-Portable-Reference/dp/0072227869 注21. http://nmap.org/ 注22. http://www.insecure.org/ 注23. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Vaskovich Fyodor 的講場擠到連站的位子都沒有。Fyodor 這次講的是 internet scanning，也就是大規模透過 internet 的網路層掃瞄。我記得 web 的威脅還沒有起來時，講到 internet security 或 web security，一定會提到 NMAP(注24)，NMAP 似乎也是每個駭客（還有網管）必學的第一套工具，也是電影裡的常客(注25)。我想很多人選這場也是為了親自見 Fyodor 一面吧？注24. http://nmap.org/ 注25. http://nmap.org/movies.html P8 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKGYFEsAiCI/AAAAAAAAA7Q/pDXP0Cbnbyw/s1600/IMG_ 1330_filtered_cropped_730.jpg] Fyodor 開場時說的話讓我印象深刻：「Internet scanning 非常難，還有許多的挑戰，但我想這也許是好的，至少這讓我站在台上給演講，不然我看我得去學那個叫什麼 "XSS" 的鬼東東了！」 Fyodor 說這次 Internet scanning 的計畫，最困擾他的是，常常 ISP 會把他的家的網路停掉： ISP：「先生，我們把你的網路停掉了，因為根據你的流量分析，你中了木馬，你的木馬正在做很多不法的事情，你已經成為僵屍網路（botnet）的一員了！」 Fyodor：「把我的我網路還給我，那些流量都是我刻意產生的，我有目的的...」 ISP：「可是這些流量是違法的！」 Fyodor：「我是 NMAP 的作者，我在研究並發展更強大的版本...」 ISP：「喔，你就是 "那個" Fyodor？請受小弟一拜...NMAP 會有新版？太帥了，您辛苦了！」根據這次 Fyodor 大規模掃瞄計畫的結果，port 80 仍然是最常見的開放 port，其他依序是：80 (http), 25 (smtp), 22 (ssh), 443 (https), 21 (ftp), 113 (auth), 23 (telnet), 53 (domain), 554 (rtsp), 3389 (ms-term-server)。 Fyodor 講了很多加速 NMAP 的技巧以，例如 stateful firewalls 適合用 SYN 來 scan ，而 stateless firewalls 適合用 ACK 來 scan等等，也介紹了 NMAP 的新功能，例如可以設定最大與最小流量，scripting engine，還有會畫 network map 的新圖形介面 Zenmap(注26)，以及可以比對兩次掃瞄差別的 Ndiff(注27) 等。注26. http://nmap.org/zenmap/ 注27. http://www.vinecorp.com/ndiff/ Fyodor 的投影片可以到這裡下載。http://insecure.org/presentations/BHDC08/ 接下來決定去 Dan kaminsky（個人網站(注28)，大會介紹(注29)）的演講「Black Ops 2008 -- Its The End Of The Cache As We Know It(注30)」，因為這次他公開的 DNS 弱點太紅了，預計會大爆滿。注28. http://www.doxpara.com/ 注29. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Kaminsky 注30. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Kaminsky 這個 DNS cache poisoning 的弱點 Dan 在七月初就已經公開：資安之眼(注31), US CERT TA08-190B(注32) / VU#800113(注33), CVE-2008-1447(注34) 注31. http://www.itis.tw/node/1932 注32. http://www.us-cert.gov/cas/techalerts/TA08-190B.html 注33. http://www.kb.cert.org/vuls/id/800113 注34. http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1447 其實自從 Dan 七月初公開此 DNS 弱點到現在，一方面由於資訊不足（一方面要留到 Black Hat 才公布，一方面也讓廠商有足夠時間初修補程式），造成很多聲音說此漏洞早就有很多研究員發現了(注35)，但是另一方面，卻也很快被其他人猜出整個漏洞的細節(注36)，而後很快地就有人寫出了攻擊程式(注37)（例如：MILW0RM:6122(注38) 、MILW0RM:6123(注39)、MILW0RM:6130(注40)）。Dan 則在七月24日 Black Hat 的會前會(注41)上公布了漏洞的細節。在這裡註冊後可以看到當時的錄影(注42)。注35. http://www.theregister.co.uk/2008/07/09/dns_bug_student_discovery/ 注36. http://www.itis.tw/node/1981 注37. http://www.itis.tw/node/1986 注38. http://www.milw0rm.com/exploits/6122 注39. http://www.milw0rm.com/exploits/6123 注40. http://www.milw0rm.com/exploits/6130 注41. http://www.blackhat.com/html/webinars/kaminsky-DNS.html 注42. https://event.on24.com/eventRegistration/EventLobbyServlet?target=registration .jsp&eventid=114268 來到 Dan 的演講，果然感受到美國這些大型會議的特色：好的講師，大家擠到連站的位子都沒有；壞的講師，一開講五分鐘之後，你會發現大家一窩峰往外衝，底下右邊是某講師的演講，左邊是 Dan 的： P9 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKFygkTeEoI/AAAAAAAAA7I/GofrvURNmOM/s1600/ empty_full_730.jpg] 先不論這個演講能聽到些什麼（細節之前都公布了），但是 Dan 的確是一個很好的演講者，他的演講生動有趣，我是從頭笑到尾。很多人說都沒聽到新的東西，也很多人說，Dan 不需要解釋這麼多 DNS 漏洞的影響，因為 man-in-the-middle 後什麼安全當然都別談了，但是我是覺得，講這些就忘了：好笑，有趣，一直是這個會議的精神之一。不論 Dan 發現的漏洞是否其實簡單，其實很多人有提到過了，他的演講非常生動，絕對讓大家對此漏洞以及整個 DNS 架構的不安全性印象深刻，以及他一個人真的推動了所有廠商對此漏洞的重視並出修補程式，這些我覺得都是我很欣賞他的原因。 P10 [http://2.bp.blogspot.com/_hELDi5B8zOI/SKHPe3uLI3I/AAAAAAAAA7g/iiH90GtNTj0/s1600/ dan_cropped.jpg] 看看右圖，Dan 講得手足舞蹈的，左圖，Dan 的演講真是老少咸宜，大家都來看他的風采 :) 這個漏洞的特色之一，是影響了大多數的廠商。Dan 公布後，主要的 DNS 上修補程式的速度多快呢？下面有 video，也可以按這裡(注43)下載 avi 檔。注43. http://www.doxdns1.com/yellow-7days-with-percentage.avi 影片1 [http://www.youtube.com/watch?v=Ff5WBDOwueI]

這裡(注44)有對於此 DNS 漏洞的詳細圖解。注44. http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html 以下是 Dan 在會議中接受的訪問：影片2 [http://www.youtube.com/watch?v=R-SSVxsH7vw]

聽完了 Dan 的，接下來去找 PDP（Petko D. Petkov）（個人網站(注45)，大會介紹 (注46)），題目是：「Client-side Security(注47)」。PDP 講的就跟我們做得有關了，所以雖然今年他在很多地方講的我都聽過了，但是還是來捧場啦！PDP 本來就很多 fans，去年公開 Gmail 的 CSRF 漏洞(注48)並示範給 ZDNet 確認(注49)後（資安之眼(注50)），其研究更受到大家的注意。注45. http://www.gnucitizen.org/ 注46. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Petkov 注47. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Petkov 注48. http://www.gnucitizen.org/blog/google-gmail-e-mail-hijack-technique/ 注49. http://blogs.zdnet.com/security/?p=539 注50. http://www.itis.tw/node/1043 P11 [http://1.bp.blogspot.com/_hELDi5B8zOI/SKI3kzv9Q7I/AAAAAAAAA7o/2dsEfEORjdM/s1600/ pdf_730.jpg] PDP 的這個演講跟他之前的演講差不多，講了很多瀏覽器的外掛（plugins）產生的漏洞，其中包含了Adobe PDF（PDP(注51)、資安之眼(注52)），Apple Quicktime （PDP(注53)、資安之眼(注54)），SecondLife（PDP(注55)），Flash UPnP （PDP-1(注56)、PDP-2(注57)、資安之眼(注58)），Skype（PDP(注59)、資安之眼-1(注60)、資安之眼-2(注61)）等。注51. http://www.gnucitizen.org/blog/0day-pdf-pwns-windows/ 注52. http://www.itis.tw/node/1032 注53. http://www.gnucitizen.org/blog/0day-quicktime-pwns-firefox/ 注54. http://www.itis.tw/node/1033 注55. http://www.gnucitizen.org/blog/ie-pwns-secondlife/ 注56. http://www.gnucitizen.org/blog/hacking-the-interwebs/ 注57. http://www.gnucitizen.org/blog/flash-upnp-attack-faq/ 注58. http://www.itis.tw/node/1442 注59. http://www.gnucitizen.org/blog/vulnerabilities-in-skype/ 注60. http://www.itis.tw/node/1575 注61. http://www.itis.tw/node/1471 最後 PDP 提到了第四代 rootkit 的觀念，認為以後 rootkit 會存在於瀏覽器上。我自己則是認為，瀏覽器的外掛安全問題，還會存在好一陣子，加上在瀏覽器上執行的惡意程式，基本上都是以 script 的形式存在，而非執行檔，而 script 的變形非常方便以及容易（我之後會介紹一場 DEFCON 有趣的演講），這樣的情況會徹底擊敗以樣本（signatures / patterns）為基礎的防禦技術，如多數的防毒軟體。聽完 PDP，去看好朋友 RSnake （ha.ckers(注62)，sla.ckers(注63)， SecTheory(注64)，大會介紹(注65)）的演講。注62. http://ha.ckers.org/ 注63. http://sla.ckers.org/forum/ 注64. http://www.sectheory.com/ 注65. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Stracener P12 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKJLHdQS2AI/AAAAAAAAA7w/QGfOO8LJHJA/s1600/ IMG_1680_filtered_cropped_730.jpg] 看到 RSnake 讓我想到這次 Kuon 沒有來有點可惜。他只要有碰到這些講師都會有問不完的問題... P13 [http://2.bp.blogspot.com/_hELDi5B8zOI/SKJQ-YvoHCI/AAAAAAAAA74/jU17-bZfzrA/s1600/ Kuon_OWASP_US_2007.jpg] （上：Kuon 於 OWASP-WASC US 2007） RSnake 這次花了很多時間講他跟 Google 之間不是那麼順利的互動(注66)。我想，弱點揭露（vulnerability disclosure 一直是資安研究人員最困擾的議題之一，聽 RSnake 在台上講，我想到我自己很多不是很愉快的經驗。我們做源碼檢測，手上有很多美國大廠的 0-day。如果已經是我們的客戶，那溝通方式很簡單，但是如果還不是我們的客戶，有時候就複雜了。通常對方第一個動作就是傳一份保密合約（NDA）過來讓我們簽，而這些保密合約，我給我們公司律師檢閱後，從來沒有一次是律師跟我說可以簽的。基本上簽了之後，我們喪失任何在公開場合討論此漏洞的權力（即使在修改了之後），對方也不會有任何承諾何時會修正或公開時會不會提及是我們發現的。每次這種會議不論是台上的講師或台下的私人聚會，弱點揭露永遠是熱門的話題。這次 DEFCON，MIT 學生被法院禁止講捷運 RFID 卡的破解方式，RSnake 還有很多其他講師也在演講中對弱點揭露提出看法，我也有很多自己的經驗，所以我會另外寫一篇探討。基本上，RSnake 發現 gmodules.com 這個網域有 XSS 漏洞，但是 Google 卻覺得此非 google.com 網域，即使有 XSS 漏洞，駭客也不會因此而能偷到 google.com 的 cookie，所以沒有修復的必要。呵呵，問題是，XSS 漏洞不只是可以偷 cookie 而已，也可以用來 phishing或掛馬。gmodules.com 這個網域有 XSS，如果這不重要的話，那我想 gmail.com 是否一樣呢？如果攻擊者像是利用 SEO Posioning 那樣的利用 GModules.com XSS 來掛馬，那麼 Google 會怎麼看待這樣的問題？這讓我想到去 Black Hat / DEFCON 之前，我受邀到國防部為三軍的資安人員講一場演講，同時受邀的有叡揚資訊的某先生。這位先生一開場就介紹資安之眼(注66) 的「TW 網站淪陷資料庫(注67)」：各位如果有 XSS 的話，會被登入在這個資料庫中喔！千萬別讓自己的網站上了這個資料庫... 這位先生，您不知道貴公司也已經上了這個資料庫嗎？隨後這位先生大力建議，網站不要被攻的方法，就是盡量裡頭不要擺東西，駭客攻進來發現沒有東西可以拿，也沒有資料庫，就不會對你的網站有興趣了...這位先生，您沒有聽過什麼叫 botnet （僵屍網路）嗎？駭客攻機器只是為了拿資料，我還第一次聽到...那天我在台下真的是聽不下去了！注66. http://www.itis.tw/ 注67. http://www.itis.tw/compromised 回到主題，RSnake 這個 talk 我很喜歡，因為我最近開發阿碼外傳，選擇用 Blogger ，也發現很多這樣子的問題。Blogger 之前非 google，上面推薦了擺在很多第三方的 widget，這些 widget 目前仍大量被使用。Blogger 被 Google 買了之後，大家相信 Google 也因此相信 Blogger，但是這些擺在第三方的 script 安全嗎？接下來 RSnake 就介紹了他做的許多可以擺在 gmodules.com 下的惡意的 Google gadget ，包含會掃瞄網路的，會偷資料的...等等。這部分技術上沒什麼難度主要是，但是聽起來蠻有趣的 :) 最後，RSnake 介紹了gmodules.com 的proxy cache 弱點，可以在上面放惡意程式，而這種惡意程式，他取名做「GMalware」。最後一場，我跳過了美國機敏單位與駭客大拜拜的「Meet the Feds(注68)」，因為反正DEFCON也有，而去了Paul Royal(注69) 的演講：「Alternative Medicine: The Malware Analyst's Blue Pill」。(注70)Paul Royal 是 Georgia Tech Dr. Wenke Lee(注71) 的學生，主攻 binary 分析，目前是 Damballa (注72)的首席研究員。注68. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Meet 注69. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Royal 注70. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Royal 注71. http://www.cc.gatech.edu/~wenke/ 注72. http://www.damballa.com/ P14 [http://4.bp.blogspot.com/_hELDi5B8zOI/SKR4gUgMXpI/AAAAAAAAA9A/rsusgDt4ECc/s1600/ IMG_1780_filtered_cropped_730.jpg] Paul Royal 在他演講的簡介(注73)裡，把現在惡意程式設計與偵測的挑戰講得很清楚：對於動態偵測，惡意程式有各種方法偵測 sandbox，對於靜態偵測，惡意程式有各種不同加殼技術，所以惡意程式設計與偵測，就是一場永無止境的賽跑。Paul 介紹如何利用中央處理器對虛擬化（virtualization）的硬體支援（例如 Intel 的 VT(注74)），以建構出一個 KVM 式的 sandbox，使得惡意程式無法偵測出，其已經被置入 sandbox 執行，並正在被分析。Royal 有當場解釋 source code，並秀出此研究的雛形（prototype）：Azure，與之前其他研究的雛形：Renovo(注75) 和 Saffron(注76)。注73. http://www.blackhat.com/html/bh-usa-08/bh-usa-08-speakers.html#Royal 注74. http://www.intel.com/technology/virtualization/ 注75. http://portal.acm.org/citation.cfm?doid=1314389.1314399 注76. http://www.offensivecomputing.net/?q=node/492 Paul 用了 15 套加殼程式來比較這三個技術的差別：Armadillo, Aspack, Asprotect, FSG, MEW, Molebox, Morphine, Obsidium, PECompact, Themida, Themida VM, UPX, UPX S, WinUPack, Yoda’s Prot，其中 Azure 偵測到所有的惡意程式，而 Renovo 只偵測到 13 隻，Saffron 只偵測到10 隻。我想叫 Birdman 跑一下我們的 Archon Analyzer（HackAlert(注77)的引擎）比比看...順便跑一下趨勢跟賽門好了，呵呵！注77. http://hackalert.armorize.com/ 最後，我發現今年 Black Hat 也有綿羊牆了！綿羊牆（wall of sheep）（CNET 報導：中文(注78)、英文(注79)）一直是 DEFCON 有趣的特色之一，而今年也來到了 Black Hat 。綿羊牆團隊約有十位核心成員，他們全天候監控大會的網路封包，抓到與會者的機密資料，如帳號密碼或信用卡號碼等，就貼到綿羊牆上去恭喜他 :) （我來不及問綿羊牆可不可以照，上面這張不是我照的，是 wired 的 blog 上的(注80) 注80. http://blog.wired.com/27bstroke6/2008/08/french-reporter.html 綿羊牆團隊不使用任何解密工具，所以牆上的綿羊都是自己使用了明碼的通訊（沒有加密的 FTP、POP、SMTP...）而光榮上榜的。CNET 這次有訪問綿羊牆的團隊：影片3 [http://www.youtube.com/watch?v=JskdFkA-kGk]

影片4 [http://www.youtube.com/watch?v=VJ_tC0ndpDE]

有趣的是，今年在 Black Hat 有三位法國的記者（我有媒體牌所以我在媒體室有碰到他們），沒有先告知大會工作人員，就自行 sniff 媒體室裡的有線網路封包，抓到其他媒體記者的帳號密碼後，通知綿羊牆的工作人員，將這些「媒體綿羊」希望加入榜單。老兄... 你沒聽說 Black Hat 這些工作人員的風格嗎？這是他們的會，怎麼會讓你們來撒野？主要是，美國聯邦法律規定，被監聽者需要知道自己被監聽，而 Black Hat 大家都知道無線網路是被監聽，被掃瞄，充滿 0day 攻擊的。可是記者室裡的網路，大會是宣稱安全的，因為許多記者不是技術出身，不能要求他們懂得如何設定安全的連線（這樣喔？）... 整個報導在這裡（照片也是這裡來的）(注81)。最後這三位記者被大會驅逐，並且也被禁止參加 DEFCON 以及未來所有的 Black Hat / DEFCON。注81. http://blog.wired.com/27bstroke6/2008/08/french-reporter.html tgdaily(注82) 的記者 Humphrey Cheung 有趁亂拍下了這三位記者當時秀的畫面，除了 eWeek 之外，CNET 也在榜上 :) 注82. http://www.tgdaily.com/content/view/38790/108/ P15 [http://3.bp.blogspot.com/_hELDi5B8zOI/SKLF3tXoe1I/AAAAAAAAA8Y/nGp1lAU3r3s/s400/ pressroom2.jpg] （這張是 Humphrey(注83) 照的，故事在這裡，另外 CNET 也有兩篇報導：CNET 報導-1(注84)、CNET 報導-2(注85)）注83. http://www.tgdaily.com/content/view/38790/108/ 注84. http://news.cnet.com/8301-1009_3-10010989-83.html 注85. http://news.cnet.com/8301-10789_3-10011285-57.html 對了，這裡有被偷帳號密碼的 eWeek 記者 Brian Prince 的自白：eWeek (注86)在 Black Hat 如何被駭的（How eWEEK Got Hacked at Black Hat）(注87)。注86. http://www.eweek.com/cp/bio/Brian-Prince/ 注87. http://www.eweek.com/c/a/Security/How-I-Got-Hacked-at-Black-Hat/ 疑似也被偷了帳號的 CNET 記者 Elinor Mills 女士也寫了一篇可愛的自白：「與我同桌的記者鎖定要駭我（Targeted for hacking by reporters at my table） (注88)」。報導中她說：「我報導了各資安會議十四年了，覺得很幸運一直沒有被駭，一直到這星期四...事情是這樣的...」「McAfee 的資深 VP 對我說：在這行夠久的人，一定都在某個時間有被駭過，這讓我好過一些，但是我無法抹去被褻瀆（violate）的感覺，就好像一陣風把我的裙子吹了起來，讓我的內在暴露給一群陌生人看到一樣，也許這是在這行必須接受的風險，但是從現在開始我都會穿保險褲的（overalls）。」注88. http://news.cnet.com/8301-1009_3-10011157-83.html 我對這件事有很深的看法，我會再寫 blog。基本上，就像鎖匠一樣，駭客最重要的是紀律。我們會開鎖，不代表我們可以去嚇別人；駭客的功夫我都很尊敬，但是行為不約束的我只有不屑。這些改天再寫吧！另外讓我想到，這次北京奧運，這麼多記者在北京...大概都完了吧 :) 我看會來後大家最好換一下帳號吧...應該說最好換一台電腦吧，用什麼掃毒軟體確定？阿碼的 Archon 嗎？不用了啦！應該都中了，直接 format 吧！不過現在很多都會跑到 bios 裡面去，我看換一台比較快啦！大會結束後我去了一個私底下約的聚會，內容就不能公開啦！只能說現在 rootkit 都已經軍規化了，真恐怖！本篇轉載自：http://armorize-cht.blogspot.com/2008/08/black-hat-2008.html -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 60.250.42.178 ※ 編輯: deephoe 來自: 60.250.42.178 (08/15 17:54)