4月26日-27日，由XCon组委会主办、未来安全承办的xKungfoo 2017在上海浦东假日酒店举行，现场汇聚数百位安全从业者，共坐一室，聆听专业大牛分享前沿的技术。xKungfoo已经有将近十年的历史，每年一期，干货满满，拒绝掺水。今年的xKungfoo更是实力锐增，每个议题都是一个方向，每个议题都是该方向最前沿的技术。

无干货，不xKungfoo。昨天会场座无虚席，今天会场依然没有空位。不少听会者都是一边听讲一边记笔记，休息间隙更是把演讲者团团围住。xKungfoo 2017精彩持续进行中，第二天又继续分享了7个干货议题。

河广：云代码Fuzz分析框架

来自蚂蚁金服巴斯光年实验室高级安全研究员河广分享了云代码fuzz框架的分析。越来越多的企业把自己的信息托管到云端，但是云端的防护是不是真的如宣传的那样安全？河广本次分享的议题内容主要是，基于在虚拟机中模糊测试代码特性的角度，从防守者的角度对代码分析测试现状进行叙述，提出较通用的分析架构方案。

刘亚、王辉：如何评估你的DDoS Botnet跟踪？

“DDoS Botnet 跟踪”可以用来实时获取那些通过botnet发起的DDoS攻击的信息，比如所使用的botnet家族、C2控制端域名和IP、控制端口、攻击类型以及具体的攻击参数。这些信息除了有助于DDoS攻击的检测和防御，还可以用来对攻击进行溯源，找出幕后的控制者。

对于跟踪botnet，我们需要知道：1）流行的DDoS botnet中有多少属于家族未知的（即不能跟踪的）？2）对于家族已知的（即可跟踪）botnet，有多少C2 server不在我们的跟踪范围内？今天来自360安全研究员的刘亚、王辉基于上面的两个问题详细讲解了如何从实际发生的DDoS攻击中找出从未被发现的攻击。

朱芳雅：虚拟商品的安全之路

何为虚拟商品？泛指一切无仓储和物流运输的商品和服务，包括虚拟商品和服务，也包括不需要仓储物流的实物商品。今天，来自唯品会高级信息安全工程师分享了虚拟商品的安全之路。

虚拟商品已经日渐火爆，黑灰产也悄悄瞄上了这块诱人的大蛋糕，比如盗券、篡改收货地址、盗虚拟货币、诈骗等。由于虚拟商品的特殊性，解决这类问题变得很是棘手，企业只能加强自己的风控体系建设，设置完善的异常检测机制，才能最小化黑灰产的伤害。

redrain：读文档读出一个0day

PostScript是一门由Adobe推出的非主流冷门编程语言，用于打印图像和文字。虽然冷门，但是打印、字体绘制来说不可或缺，Google的神人j00ru在逆向Adobe的字体引擎过程中接触该语言，称其为可以统治所有平台的字体漏洞之源。

今天CVE高产安全研究员redrain分享了自己对PostScript引擎GhostScript的研究成果，其中包含几个有趣的漏洞。除此之外，他今天还带来了一个重磅的新闻，现场爆出一个0day。

王启泽：TrustZone安全技术研究

随着移动互联网和智能终端的发展，智能设备进入了人类生活的方方面面。由于普通移动终端操作系统的开放性和复杂性使得移动终端平台的安全性得不到保障。为此，ARM公司推出了TrustZone技术，可以通过TrustZone技术实现内存隔离和外设保护，提出了可信执行环境的概念。未来伴随着物联网的高速发展，每年搭载TrustZone技术的ARM物联网芯片将达到百亿颗，安全和互联将成为物联网的重点。TrustZone安全技术将成为移动互联网和物联网安全的主要安全研究热点。

启明星辰安全研究员王启泽介绍了TrustZone技术的背景，安全技术架构及在TrustZone安全技术的研究。着重对TrustZone技术的缺陷和攻击面做了介绍，并提出了TrustZone在内核安全加固方面的思路。

冰血封情：信息泄露蝴蝶效应从民众到国家安全

邪恶八进制信息安全团队创始人冰血封情带着对安全永不磨灭的情怀来到了xKungfoo，他表示每个人在安全中都是一个至关重要的环节，也许你会觉得自己只是沧海中的一粟，其实不然，你可能就是掘开堤坝的那个蚁穴。

一个网民信息不会造成毁灭性的伤害，但是上千万的网民数据泄露可能就会掀起一场腥风。一切非公开信息的泄露都可能危及国家安全！比如医院的某类重点药材信息泄露，敌方可能就会趁机做点手脚，危及医院全部病人的安全。

李丹：釜山行之进化僵尸——从僵尸网络看网络攻防

去年10月低，美国东海岸地区大面积网络瘫痪。原因就是攻击者利用全球的IoT设备向Dyn公司发动了大规模的DDoS攻击。

绿盟科技威胁情报与网络安全实验室的安全研究员李丹基于botnet实例，从攻击链角度对网络攻防现状进行分析，并提出了一个解决方案。比如自动化处理、自动捕获样本、自动运行样本、自动识别、自动提取分类、自动跟踪、自动连接其他产品等。

张伟：数据泄露中的口令攻防对抗

当前数据泄露有关注高、范围广、危害大三大特点，而口令是攻击者实施攻击行为的最后障碍。

来自泰格实验室的张伟，分享了口令攻防对抗赛中几个至关重要的环节，比如破解口令的方法：字典、彩虹表、GPU暴力。这三种方法各有优缺点，有的破解范围小，有的消耗时间长，有的无法破解salt，但是如果能综合这三种方法，破解将事半功倍。

至此，xKungfoo 2017第二天的议题已经分享完毕，xKungfoo 2017也顺利闭幕。感谢演讲嘉宾们的精彩分享，相信来参加的每位小伙伴们都收获满满。

xKungfoo 2018，我们明年再见！