Black Hat ASIA 2021武器庫回顧
責編：gltian ｜2021-05-10 14:14:25Black Hat?ASIA 2021（2021年亞洲黑帽大會）于5月4日至7日正式舉行。其中，6日至7日，共有40個議題分享最新的信息安全風險、研究和趨勢。
武器庫方向
此次公布的武器庫主要圍繞14個方向，涵蓋：
Android, iOS and Mobile Hacking（安卓、iOS和移動黑客攻擊）
Code Assessment（代碼評估）
Data Forensics and Incident Response（數據取證和事件響應）
Exploitation and Ethical Hacking（道德黑客-剝削）
Hardware/Embedded（硬件/嵌入式）
Human Factors（人為因素）
Internet of Things（物聯網）
Malware Defense（惡意軟件防御）
Network Attacks（網絡攻擊）
Network Defense（網絡防御）
OSINT – Open Source Intelligence（OSINT-開源情報）
Reverse Engineering（逆向工程）
Vulnerability Assessment（漏洞評估）
Web AppSec
武器庫一覽
基于AOP的運行時安全分析工具包
Aosanalyzer，一個用于Android應用程序的開源運行時安全性分析工具包。該工具主要用于查找通過靜態APK分析難以發現的應用程序安全漏洞和隱私泄漏。
Aosanalyzer使用安全技術中的面向方面的編程將代碼插入應用程序的關鍵路徑中，以記錄運行時信息（例如堆棧跟蹤、參數、UI事件等），然后生成包含安全問題要點的報告。
SniperPhish：網絡釣魚工具包
魚叉式網絡釣魚活動通常用于測試公司/組織中員工的安全意識。測試主要涉及網絡釣魚電子郵件和網站的組合，不僅要從設計網絡釣魚網站到以無法檢測的方式在目標上執行有效負載，還需要一個平臺將電子郵件發送給目標用戶并跟蹤活動進度。這個過程需要使用郵件服務器（發送電子郵件）和Web服務器（托管網絡釣魚網站），也就是跟蹤電子郵件的發送狀態和網絡釣魚網站中提交的數據。
通常，這兩個域的數據收集相對容易，但是要合并這些數據并解決問題（例如郵件中的哪個受害者通過網站提交了數據）則更具挑戰性和耗費時間。SniperPhish是用PHP開發的高級Web電子郵件魚叉式網絡釣魚工具包，支持跟蹤包含n個頁面的網站中的數據，且報告生成模塊中的高級自定義功能可幫助自定義列字段并導出多個輸出。
CDK：零依賴容器滲透工具包
CDK是一個開放源代碼的容器滲透工具包，可在云本地docker / k8s / lessserver部署中提供穩定的利用。它帶有許多功能強大的工具和漏洞利用程序，而且無需任何操作系統依賴性，就可以做到輕松逃避容器并接管K8s集群。
Cotopaxi：物聯網協議安全測試工具包
Cotopaxi是使用特定網絡IoT / IIoT / M2M協議（AMQP、CoAP、DTLS、gRPC、HTTP / 2、HTCPCP、KNX、mDNS、MQTT、MQTT、MQTT-SN、QUIC、RTSP、SSDP）進行物聯網設備安全測試的工具。不同于nmap或OpenVAS，能夠支持所有新的物聯網協議（如CoAP，DTLS。HTCPCP、QUIC）。項目鏈接：https://pypi.org/project/cotopaxi/
GitDorker：在你的GitHub中Dorking你所有的秘密
GitDorker是一個利用GitHubSearch API和從各種來源匯編的GitHub dork的廣泛列表的工具，提供給搜索查詢下GitHub上存儲的敏感信息概況。此外，GitDorker還可以和其他工具一起使用，如GitRob或Trufflehog。
對抗式威脅探測器
近年來，深度學習技術得到了發展，使用深度學習的各種系統正在我們的社會中普及，另一方面，也出現了越來越多利用深度學習算法漏洞的攻擊。“ Adversarial Threat Detector”（又名ATD）的漏洞掃描程序可以自動檢測基于深度學習的分類器中的漏洞。通過執行“檢測漏洞（掃描和檢測）”，“了解漏洞（理解）”，“修復漏洞（修復）”和“檢查已修復的漏洞（重新掃描）”四個周期，有助于分類器的安全。
CANalyse：車輛網絡分析和攻擊工具
CANalyse是一種軟件工具，用于分析日志文件并自動查找唯一的數據集，且能夠連接到簡單的攻擊者接口（如Telegram）。使用該工具時，可以提供bot-ID，通過電報在Internet上直接使用。CANalyse被安裝在樹莓派PI內，可以通過Telegram機器人記錄和分析數據日志來利用車輛。
除了武器庫，此次豐富的議題同樣值得關注，比如：
消失的硬幣：在Stratum中秘密竊取哈希率
研究人員首次介紹Stratum加密貨幣挖礦通信協議中的新型中間人(MITM)攻擊方案。
Safari里的新攻擊界面：只用一個網絡音頻漏洞來控制Safari
研究人員通過演示，講解在由我國成都市政府主辦的天府杯國際網絡安全大賽中利用Safari網絡音頻漏洞進行的攻擊。
一鍵式攻擊的新時代：如何破解Install-Less應用
研究人員分享對Install-Less應用結構的主要觀察結果，并對在蘋果App Clips、Google PWA、Google Instant App和QuickApp 中發現的多個漏洞進行深入分析。
如何解鎖智能門：跨供應商物聯網訪問控制中的安全隱患
物聯網（IoT）設備越來越多地通過云進行管理，從而調節用戶對設備的訪問。例如只有授權用戶才能打開門。這些云一般由設備供應商（Philips Hue，LIFX，Tuya等）或云提供商（Google Home，Amazon Alexa，IFTTT等）運營。隨著主流物聯網供應商倡導新興功能，即可跨不同的云和用戶委派設備訪問權限：例如，Philips Hue、August Lock等可允許Google Home控制其云中介導的設備，因此用戶可以通過Google Home上的單個控制臺來管理來自不同供應商的多個設備。具體來說，跨物聯網云的訪問委派是分布式的，異構的且未經驗證的：每個供應商使用臨時的隱式安全假設來自定義其委派協議。此外，研究人員還發現，復雜的委派服務通常跨云耦合，其中一個云很可能無意間違反了另一個云的安全操作和假設。通過對10種主流的物聯網云（Google Home，SmartThings，IFTTT，Philips Hue，LIFX，August等）的調研，發現了5個嚴重的漏洞，危及數百萬用戶和數百個供應商。利用這些漏洞，惡意攻擊者可以獲得未經授權的物聯網設備（例如智能鎖、開關、安全傳感器）的訪問權限。
以上僅節選了部分武器庫和議題，如需了解更多，可點擊鏈接。
來源：FreeBuf.COM