1、2014美國(guó)黑帽大會(huì)有哪些精彩的議題

加密類(lèi)：
48 Dirty Little Secrets Cryptographers Don't Want You To Know
介紹Matasano公司的加密挑戰(zhàn)賽中——Matasano crypto challenges(http://www.matasano.com/articles/crypto-challenges/)，48個(gè)攻擊場(chǎng)景，攻擊方式。
演講者：Thomas Ptacek & Alex Balducci
無(wú)線類(lèi)：
802.1x and Beyond!
介紹IEEE 802.1x以及其RADIUS/EAP協(xié)議漏洞，證明在用戶(hù)授權(quán)接入網(wǎng)絡(luò)前，通過(guò)802.11的WPA Enterprise在RADIUS服務(wù)器遠(yuǎn)程執(zhí)行代碼。
演講者：Brad Antoniewicz
ATTACKING MOBILE BROADBAND MODEMS LIKE A CRIMINAL WOULD
有關(guān)移動(dòng)寬帶modems的安全問(wèn)題。議題會(huì)展示如何盈利，竊取敏感信息和持久的控制著這些設(shè)備。
演講者： Andreas Lindh
Bringing Software Defined Radio to the Penetration Testing Community
作者研制了一種簡(jiǎn)單易用的工具來(lái)進(jìn)行無(wú)線監(jiān)聽(tīng)和植入。工具是使用GUN radio和scapy基于Software Defined Radio制作的。議題介紹可以用這個(gè)工具來(lái)方便進(jìn)行無(wú)線安全評(píng)估。
演講者：Jean-Michel Picod & Jonathan-Christofer Demay & Arnaud Lebrun
Hacking the Wireless World with Software Defined Radio – 2.0
我們身邊的無(wú)線信號(hào)無(wú)處不在，想餐廳服務(wù)員的對(duì)講機(jī)，建筑物門(mén)禁，汽車(chē)無(wú)線鑰匙，消費(fèi)者的，企業(yè)的，政府的，業(yè)余愛(ài)好者的。這個(gè)議題就是教你怎樣“盲目”的收集任何RF(Radio Frequency)然后從物理層逆向出來(lái)。而且只需要用一些開(kāi)源軟件和廉價(jià)的無(wú)線電硬件。作者會(huì)你逆向出衛(wèi)星通信，用mode S追蹤到飛機(jī)，并3D可視化的展示出來(lái)。
演講者：Balint Seeber
Point of Sale System Architecture and Security
本議題向觀眾展示POS機(jī)的組件如何操作，支付的流程如何以及哪些環(huán)節(jié)是有漏洞的。
演講者：Lucas Zaichkowsky
銀行：
A Journey to Protect Points-of-Sale
介紹PoS(points-of-sale)機(jī)是如何被攻陷的。議題介紹比較常見(jiàn)的威脅——memory scraping，介紹這是怎么實(shí)現(xiàn)的以及如何減少這種威脅。
演講者：Nir Valtman
SAP, Credit Cards, and the Bird that Talks Too Much
本議題講述 從被廣泛運(yùn)用在世界各大機(jī)構(gòu)的SAP中提錢(qián)、支付信息和信用卡信息。
演講者：Ertunga Arsal
移動(dòng)方向：
A Practical Attack Against VDI Solutions
Virtual Desktop Infrastructure被認(rèn)為是目前炒作得厲害的BYOD安全解決方案之一。本議題通過(guò)一個(gè)PoC證明在VDI平臺(tái)應(yīng)用場(chǎng)景下，惡意移動(dòng)應(yīng)用通過(guò)“截屏”竊取數(shù)據(jù)。通過(guò)模擬用戶(hù)的交互行為，證明這種攻擊方式不但可行而且有效。
演講者：Daniel Brodie & Michael Shaulov
Android FakeID Vulnerability Walkthrough
2013年帶來(lái) MasterKey漏洞的團(tuán)隊(duì)，今天帶來(lái)一個(gè)新的Android應(yīng)用漏洞，允許惡意應(yīng)用逃脫正常應(yīng)用的sandbox，在用戶(hù)不知情的情況下獲得特定的安全特權(quán)。從而惡意應(yīng)用可以竊取用戶(hù)數(shù)據(jù)，恢復(fù)密碼，在特定場(chǎng)景下甚至完全控制Android設(shè)備。這個(gè)漏洞影響所有2010年1月以后的Android( Android Eclair 2.1 )。
演講者：Jeff Forristal
Cellular Exploitation on a Global Scale: The Rise and Fall of the Control Protocol
該議題展示了服務(wù)提供商(Service Providers)可以通過(guò)隱藏的被動(dòng)的層面去控制你的設(shè)備( Android, iOS, Blackberry)，議題將曝光如何通過(guò) Over-the-Air對(duì)主流的蜂窩平臺(tái)網(wǎng)絡(luò)(GSM/CDMA/LTE)進(jìn)行遠(yuǎn)程執(zhí)行代碼。
演講者：Mathew Solnik & Marc Blanchou
Exploiting Unpatched iOS Vulnerabilities for Fun and Profit
該議題曝光作者對(duì)最新版iOS(version 7.1.1), 的越獄過(guò)程。
演講者： Yeongjin Jang & Tielei Wang & Byoungyoung Lee & Billy Lau
It Just (Net)works: The Truth About iOS 7's Multipeer Connectivity Framework
利用Multipeer Connectivity框架，iOS設(shè)備之間也可以在一定范圍內(nèi)通過(guò)藍(lán)牙和點(diǎn)對(duì)點(diǎn)的Wi-Fi連接進(jìn)行通訊。本議題主要探討這種新型的通信方式存在的漏洞和威脅。
演講者：Alban Diquet
Mobile Device Mismanagement
本議題聚焦于“移動(dòng)設(shè)備管理”MDM產(chǎn)品本身的漏洞。展示如何通過(guò)這些產(chǎn)品的漏洞竊取到敏感的信息。
演講者：Stephen Breen
"Nobody is Listening to Your Phone Calls." Really? A Debate and Discussion on the NSA's Activities
本議題主要講述有關(guān)NSA監(jiān)聽(tīng)的話(huà)題的爭(zhēng)論。
演講者：Mark Jaycox & J. Michael Allen
Researching Android Device Security with the Help of a Droid Army
本議題講述利用heterogeneous cluster來(lái)挖掘android的漏洞
演講者： Joshua Drake
Sidewinder Targeted Attack Against Android in the Golden Age of Ad Libs
本議題將使用從Google Play下載的Android程序演示“Sidewinder 針對(duì)性攻擊”。
演講者：Tao Wei & Yulong Zhang
Static Detection and Automatic Exploitation of Intent Message Vulnerabilities in Android Applications
本議題中演講者將介紹一系列可能出現(xiàn)在一般Android應(yīng)用編程過(guò)程中的漏洞，和開(kāi)發(fā)的針對(duì)這些漏洞的靜態(tài)分析程序。
演講者：Daniele Gallingani
Understanding IMSI Privacy
本議題中演講者將展示一款低成本且易用的基于Android系統(tǒng)的隱私框架以保護(hù)用戶(hù)隱私。
演講者：Ravishankar Borgaonkar & Swapnil Udar
Unwrapping the Truth: Analysis of Mobile Application Wrapping Solutions
本議題將分析一些大公司提供的應(yīng)用打包解決方案，研究為何這些打包方案能同時(shí)使用在iOS和Android設(shè)備中，并研究其安全性。
演講者：Ron Gutierrez & Stephen Komal
VoIP Wars: Attack of the Cisco Phones
本議題中演講者將現(xiàn)場(chǎng)演示使用他所編寫(xiě)的Viproy滲透測(cè)試工具包攻擊基于思科VoIP解決方案的VoIP服務(wù)。
演講者：Fatih Ozavci
惡意軟件：
A Scalable, Ensemble Approach for Building and Visualizing Deep Code-Sharing Networks Over Millions of Malicious Binaries
如果可以重現(xiàn)惡意軟件的Code-Sharing網(wǎng)絡(luò)，那么我們就可以更多的了解惡意軟件的上下文和更深入了解新出現(xiàn)的惡意軟件。這個(gè)議題就是通過(guò)一個(gè)還原混淆而又簡(jiǎn)單全面的分析方法，對(duì)地址多態(tài)，打包技術(shù)，混淆技術(shù)進(jìn)行分析評(píng)估(an obfuscation-resilient ensemble similarity analysis approach that addresses polymorphism, packing, and obfuscation by estimating code-sharing in multiple static and dynamic technical domains at once)這個(gè)議題會(huì)詳細(xì)介紹這套算法。
演講者：Joshua Saxe
badusb-on-accessories-that-turn-evil
這個(gè)議題討論一種新的USB惡意軟件，它通過(guò)USB設(shè)備內(nèi)的“控制芯片”來(lái)進(jìn)行操作。例如可以通過(guò)重新編程來(lái)欺騙各種其他設(shè)備，以達(dá)到控制計(jì)算機(jī)，竊取數(shù)據(jù)或者監(jiān)聽(tīng)用戶(hù)。
演講者：Karsten Nohl & Jakob Lell
Bitcoin Transaction Malleability Theory in Practice
關(guān)于比特幣的“ Transaction Malleability ”漏洞
演講者：Daniel Chechik & Ben Hayak
Dissecting Snake – A Federal Espionage Toolkit
本議題介紹分析惡意軟件Snake(也稱(chēng)Turla或Uroburos)的幾個(gè)重要方面，例如usermode-centric和kernel-centric架構(gòu)，rootki能力，認(rèn)證的C&C流量，encrypted virtual volumes。
演講者：Sergei Shevchenko
One Packer to Rule Them All: Empirical Identification, Comparison, and Circumvention of Current Antivirus Detection Techniques
如今很多防病毒解決方案都號(hào)稱(chēng)可以最有效的對(duì)方未知的和混淆的惡意軟件，但是都沒(méi)有具體能說(shuō)清楚是怎么做到的。以至于作為掏錢(qián)買(mǎi)的付費(fèi)者不知道如何選擇。本議題通過(guò)“經(jīng)驗(yàn)”來(lái)對(duì)這些方案的效果做一個(gè)展示。從而揭示新的檢測(cè)方法是如何實(shí)現(xiàn)的。
演講者：Alaeddine Mesbahi & Arne Swinnen
Prevalent Characteristics in Modern Malware
本議題講述作者對(duì)當(dāng)前流行的惡意軟件逃避技術(shù)的研究。
演講者：Rodrigo Branco & Gabriel Negreira Barbosa
The New Scourge of Ransomware: A Study of CryptoLocker and Its Friends
本議題將研究CryptoLocker和其他類(lèi)似的勒索軟件，研究我們能從這樣的新威脅中學(xué)到什么。

演講者：Lance James & John Bambenek
第 1 頁(yè)：無(wú)線類(lèi) 第 2 頁(yè)：移動(dòng)方向
第 3 頁(yè)：惡意軟件 第 4 頁(yè)：物聯(lián)網(wǎng)
第 5 頁(yè)：windows相關(guān) 第 6 頁(yè)：APT方向
第 7 頁(yè)：web安全 第 8 頁(yè)：反匯編
你可以去51cto 看看

2、收銀系統(tǒng)的POS機(jī)是怎么被黑客攻擊控制的?

本人處在POS機(jī)這個(gè)行業(yè)，從經(jīng)驗(yàn)上看，這個(gè)問(wèn)題我覺(jué)樓主解讀有誤，這里面被黑的不是POS機(jī)，而是POS機(jī)的收銀系統(tǒng)。首先POS機(jī)用的不是windows系統(tǒng)，大部分是嵌入式Linux系統(tǒng)，或者wince系統(tǒng)，一般的木馬程序幾乎沒(méi)有執(zhí)行的可能性。其次是POS機(jī)一般會(huì)從三個(gè)方面保證POS的安全性：
1.專(zhuān)線操作。如果是無(wú)線POS，那么就走APN撥號(hào)。網(wǎng)線就是拉專(zhuān)線，走電話(huà)線更沒(méi)有木馬傳播的可能性。
2.安全芯片保證。POS的加密解密動(dòng)作都是有加密芯片保證的，而加密芯片都是要過(guò)國(guó)際的PCI等認(rèn)證。不只是安全芯片，讀卡器，機(jī)具都有過(guò)一大堆的認(rèn)證，大部分認(rèn)證的技術(shù)含量是比較高的，足夠保證POS的安全。
3.專(zhuān)人管理。這個(gè)就不說(shuō)了，POS機(jī)的使用都需要授權(quán)，后天也有異常檢測(cè)機(jī)制。凡是涉及金融交易的，沒(méi)有人敢夠承擔(dān)相應(yīng)的責(zé)任。再過(guò)POS認(rèn)證的時(shí)，有一些評(píng)分機(jī)制，其中有一項(xiàng)需要抵擋住專(zhuān)家用幾百萬(wàn)美元的設(shè)備攻擊系統(tǒng)8個(gè)小時(shí)（超市休息的時(shí)間）。如果不是對(duì)POS系統(tǒng)和銀行系統(tǒng)有極深的了解，并且投入上千萬(wàn)的資金，很難入侵POS機(jī)（當(dāng)然最堅(jiān)固的密碼系統(tǒng)抵擋不住你非得設(shè)置123456這個(gè)密碼，希望你懂我的意思）。
所以我覺(jué)得這個(gè)應(yīng)該是木馬侵入了POS的進(jìn)銷(xiāo)存管理軟件，這樣的話(huà)會(huì)獲取到一些銀行卡信息，但是從目前國(guó)內(nèi)的用卡情況看，對(duì)我們?cè)觳怀墒裁从绊憽?/p>

借著詞典花了點(diǎn)時(shí)間看看Target的分析報(bào)告，新聞里所說(shuō)的POS系統(tǒng)入侵，整個(gè)過(guò)程是黑客先入侵了供應(yīng)商的網(wǎng)絡(luò)，此供應(yīng)商的網(wǎng)絡(luò)有帳號(hào)可以訪問(wèn)Target的網(wǎng)，在獲得了進(jìn)入Target的網(wǎng)絡(luò)權(quán)限后，可能利用Target網(wǎng)絡(luò)中的缺陷，進(jìn)入到POS系統(tǒng)的服務(wù)器，通過(guò)服務(wù)器再給每臺(tái)POS機(jī)上安裝一個(gè)內(nèi)存駐留程序，記錄下所有的數(shù)據(jù)，然后通過(guò)防火墻將數(shù)據(jù)傳出。從整個(gè)過(guò)程來(lái)看，Target的系統(tǒng)至少存在幾個(gè)問(wèn)題：

1、授權(quán)外部人員訪問(wèn)公司內(nèi)部網(wǎng)絡(luò)；

2、網(wǎng)段之間沒(méi)有足夠的安全劃分；

3、防入侵、防毒軟件的多次警告被忽略，網(wǎng)絡(luò)人員存在責(zé)任心的問(wèn)題；

4、防火墻向外的數(shù)據(jù)包沒(méi)有給以足夠的重視，11G的數(shù)據(jù)傳輸至少應(yīng)該引起網(wǎng)管人員的警覺(jué)。如果能解決系統(tǒng)設(shè)計(jì)上的問(wèn)題，人員加強(qiáng)管理，這種入侵幾乎是不可能發(fā)生的。

3、被銀聯(lián)拉黑的pos機(jī)平臺(tái)有哪些

被銀聯(lián)拉黑的pos機(jī)平臺(tái)有快樂(lè)富、神行付、快樂(lè)付、百富寶、金元寶、易刷通、人人付、還付寶、花花支付、高帥付、捷付寶、先鋒寶貝、百億支付、7天刷、好收等等pos機(jī)牌子。央行最近注銷(xiāo)了多張支付牌照，新增了20款銀聯(lián)卡支付應(yīng)用軟件報(bào)備未報(bào)備品牌名單，分別是萌錢(qián)包、俏美生活、無(wú)界支付、金控掌柜、可瑞生活、卡美生活、聚聯(lián)支付、卡付、科銳信、銀寶欣付、愛(ài)心付、卡民管家、亮刷科技、樂(lè)閃付、飛虎信用卡、美譽(yù)招財(cái)貓、51寶、中億卡管家、多米閃付、小七助手。

4、下載pos機(jī)的軟件安全嗎可以直接刪除嗎

首先，完成pos交易需要滿(mǎn)足三個(gè)條件。第一個(gè)是機(jī)器，第二個(gè)是用我們的手機(jī)號(hào)碼注冊(cè)的軟件應(yīng)用程序，第三個(gè)是銀行卡。如果沒(méi)有這三個(gè)必要條件中的任何一個(gè)，即使機(jī)器不能完成一筆交易，那么在這種情況下，如果機(jī)器丟失了，也不會(huì)對(duì)我們產(chǎn)生任何影響。所以我們需要確保如果機(jī)器丟失了，我們需要確保我們的銀行號(hào)碼和密碼不會(huì)再次出錯(cuò)，這樣即使有人撿起機(jī)器，它也是有用的，而且和垃圾沒(méi)有區(qū)別。更換機(jī)器后，我們應(yīng)該如何處理原始應(yīng)用程序？信息會(huì)泄露嗎？事實(shí)上，這些問(wèn)題不必?fù)?dān)心，因?yàn)镻OS機(jī)公司是由銀聯(lián)和央行授權(quán)認(rèn)證的，有正規(guī)的支付機(jī)構(gòu)，接受監(jiān)管。此外，在注冊(cè)申請(qǐng)時(shí)提交的信息是嚴(yán)格保密的，不會(huì)造成泄露。更換機(jī)器后，您只需卸載原始應(yīng)用程序，而不會(huì)對(duì)您造成任何影響。

5、如何解決pos機(jī)無(wú)法安裝第三方應(yīng)用如微信支付寶等常用軟件。

這個(gè)自己安裝不了，只能找pos代理商或者銀行，更換最新的機(jī)器才行，微信收款支付寶等等這個(gè)需要最新的機(jī)器才有，傳統(tǒng)的pos機(jī)無(wú)法實(shí)現(xiàn)這個(gè)功能 回家吃飯去啊我的意思就是沒(méi)有用嗎 薛蟠—夏金桂 寶蟾、小舍兒

轉(zhuǎn)載請(qǐng)帶上網(wǎng)址：http://m.ggt022.com/posjifour/244803.html