奇安信攻防社区-白帽眼中的美国“两会（Blackhat+Defcon）”

白帽眼中的美国“两会（Blackhat+Defcon）”

参加黑客两会（Blackhat+Defcon），变化颇多，谈其所观。

时隔4年笔者终于有机会在疫情后, 再次参加全球最受瞩目的黑客两会（Blackhat+Defcon）。变化颇多，令⼈唏嘘不已。受限于外部环境变化，签证受阻等原因，这⼀次会议应该是近⼏年来,中国内地⼈员参会最少的⼀届，会中偶遇的⼏位北美区华⼈也颇有感触。整个会议期间, 除了同行的同事,几乎没有听到内地普通话⼝⾳，只有少数台湾同胞偶尔闪现。从会议规模来看，两个会议规模都有缩⽔，预算⾁眼可⻅的减少，⻔票价格也再破新⾼。DEFCON的门票Badge甚⾄成了塑料。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-16fc1e3064f7b6b8feeb2388fd2ef9ff5bd2d63c.jpeg)

黑帽大会相对DEFCON 商业气氛更浓厚。整体而言今年参展的安全厂商还是以传统安全产品为主。新兴领域例如车联网安全相关产品并没出现。展台的规模比起之前略有缩水。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-23ae3bca5b21fbf395ce46ec64e34b80cd5e69d5.jpeg)

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-040d402f283b416e0eefaaae6c2fc1ff3d5aeed9.jpeg)

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-8f4840cf506e650849c39ab6855323810a8312ea.jpeg)

较为失望的是今年的黑帽大会展商, 没有一家来自中国内地的企业。反倒是CISA,TSA等美国政府机构和洛克希德.马丁等军⼯企业积极参展。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-e982995f9b7dd12a52d1438c668b4c80ad8b04b8.jpeg)

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-4c47a459dcb503823c15660250c4e8c2fe193d37.jpeg)

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-f99bc07e11b6cfcf2b28b59cc82d96f05650be58.jpeg)

其实严格来说 TikTok 也算是中国企业。但为了在北美市场能够生存,其竭尽全力的宣传对数据安全的重视, 同时尽量撇清身上的中国属性。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-a26fc896b99b6a0b7cf9699ea52fd3941fd1b4cb.jpeg)

而相比往年参加黑帽大会议题环节的人数似乎也有所减少。常出现坐不满的现象。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-6c5c1da6de2548abca1a9b350e3636845b810ef3.jpeg)

但卫星安全相关议题却非常受欢迎, 可能是为数不多全场几乎坐满的议题之一。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-452ef10d5b213354818e459c64d2cecbbd675127.jpeg)

反观DEFCON依然如农贸市场赶集般热闹，纵然⼈数规模并没有达到以往的几万⼈，也依然把会场挤得⽔泄不通。美国⺠间的⿊客⽂化基数⼤到让⼈羡慕。美国⺠间⼏⼗年的技术⽂化沉淀， 三代⼈的传承让会场那种不墨守成规，纯粹的兴趣导向， 探索⾃由的精神让⼈羡慕，这可能是国内较为稀缺的，这种⼯程师⽂化的传承带来的示范效应，笔者觉得还是很有借鉴价值的。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-74fae17a1dad15b73bd51beeccf46a7078000123.jpeg)

除了DEFCON传统CTF挑战赛外,今年比往年增加了更多形式各异的CTF 比赛。丰富且饱满的内容也促进了社区的活跃度。现场感受此类极客⽂化让⼈震惊，给笔者带来的冲击感⾮常强烈。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-9d5b147ceff5af5e0a09622e5763bbb4df28ce97.jpeg)

如果⽤⼀句话来形容今年的DEFCON就是万物皆可PWN万物皆可CTF。下图为某小哥在给笔者展示其破解美国白宫的CTF挑战后，获得的白宫版Badge的奖励。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-fe34276a3a1d5514d24c7fb6f341278cc8652229.jpeg)

同时今年比往年增加了更多的 Villages。这使得每个参会者都能找到自己的同好。下图为来自韩国的Red Alert 团队承办的工控 Village 靶场及CTF

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-e5326fec9b71e830c45177a4d105d7253fb8df98.jpeg)

以及国内安全圈较少涉及的物理渗透 Village

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-9fc1f7671e03edff86ca84d8272dcddca8ee60a5.jpeg)

一大群人围坐在一起研究开锁的场面颇为壮观

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-71f582a3f2483170f2b058fbf654d4dec2180bab.jpeg)

笔者感兴趣的Car Hacking Village组委今年在现场摆了两辆汽车 Nissan 和 Tesla M3 做为演示。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-0f234ccc7a2979bcf0bd281a44d2a21508ae1841.jpeg)

同时在现场放置了汽车台架, 供感兴趣的人体验一把汽车黑客瘾。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-520b2a56768fd16f13a1d8d8714d102f72f7125a.jpeg)

韩国小哥在CHV分享了如何通过多媒体文件对车机进行Fuzzing测试。让笔者感同身受的是韩国小哥在PPT中提到,汽车安全研究最大的困难是没有足够的汽车进行测试。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-8db41bb688cdd7e1655ef2c6f2f54d0627439b6a.jpeg)

今年DEFCON最大的亮点之一,非太空安全Village莫属。下图为卫星CTF 比赛现场，有的参赛队伍人数尽达百人之多。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-6b5d55ff061b08c503e0380dfd63189e1a381d8b.jpeg)

为了此次卫星CTF挑战，Village组委甚至专门发射了真正的卫星 (Moon Lighter), 到太空中让参赛者实战一番。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-9ff009158fc8d7dddd3746c2f05cfbc9cb7c947a.jpeg)

在大会期间笔者的另一大感受,就是北美的黑客文化传承的非常好。笔者不只一次看到 小孩儿在认真听大人们介绍相关黑客知识。事实上 DEFCON 还专门为未来的小黑客们 建立了 DEFCON Kids Village。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-11a9e76d017836d16366fb73b98bc780b3b8cdec.jpeg)

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-6d661669f4a3d59d816688fbcdaa522d37a61d08.jpeg)

作为近年来太空领域发展势头最猛的 SpaceX 也来了现场。并展示了真实的猎鹰 9 号 发动机以及太空宇航服

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-0284487828b097bc3902344d7bccb28aa0d69752.jpeg)

来自英国某安全公司甚至在现场搭建了模拟飞机驾驶器。感兴趣的人可以体验一把驾驶飞机降落的感觉。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-8d5ed12a7286964f67082c1a8b67faa6e29cb4c9.jpeg)

当然还有一些非常入门级的小village，例如接网线（还记得网线有几根吗？）

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-c8cf32bd3f6d1eb323621de6d2a3c0c6d7e1e3b0.jpeg)

本届DEFCON最硬核的议题之一, 被放在了最后现场座无虚席。大家都想看安全研究员是如何历时两年时间， 一步一步破解了无线电通信协议*TETRA* 的加密机制。值得注意的是国外相关部门两年前就已经知晓并掌握了漏洞详细信息。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-7fee8e2ed01d4fcb6b98ed0e7763c8c9634bb7a9.jpeg)  
![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-100d690d9d17a5ac13fd527ee5482d4638ee5f29.jpeg)

从另⼀个⻆度来看，美国利⽤⺠间⼒量办⼤事的套路仍然⾮常⾼效，多个⾼危漏洞披露，⾸个卫星沙盒挑战，疑似后⻔的硬核无线电漏洞披露，近2000个Workshops席位售出，33个Village，63个Contests&amp;Events，36个Demo Labs，以及48个⿊客艺术家，四个tracks构成的主要内容还是⾮常饱满，会议进⾏到最后⼀天现场仍然有6000⼈。

![](https://shs3.b.qianxin.com/attack_forum/2023/09/attach-1778fd885ede9ba49beb8c21ee6ca790ff24f370.jpeg)

发表于 2023-09-01 17:09:58
阅读 ( 4739 )
分类：其他

白帽眼中的美国“两会（Blackhat+Defcon）”

0 条评论