Black Hat ASIA 2021武器库回顾 – 作者:kirazhou

Black Hat ASIA 2021（2021年亚洲黑帽大会）于5月4日至7日正式举行。其中，6日至7日，共有40个议题分享最新的信息安全风险、研究和趋势。

武器库方向

此次公布的武器库主要围绕14个方向，涵盖：

Android, iOS and Mobile Hacking（安卓、iOS和移动黑客攻击）

Code Assessment（代码评估）

Data Forensics and Incident Response（数据取证和事件响应）

Exploitation and Ethical Hacking（道德黑客-剥削）

Hardware/Embedded（硬件/嵌入式）

Human Factors（人为因素）

Internet of Things（物联网）

Malware Defense（恶意软件防御）

Network Attacks（网络攻击）

Network Defense（网络防御）

OSINT – Open Source Intelligence（OSINT-开源情报）

Reverse Engineering（逆向工程）

Vulnerability Assessment（漏洞评估）

Web AppSec

武器库一览

基于AOP的运行时安全分析工具包

Aosanalyzer，一个用于Android应用程序的开源运行时安全性分析工具包。该工具主要用于查找通过静态APK分析难以发现的应用程序安全漏洞和隐私泄漏。

Aosanalyzer使用安全技术中的面向方面的编程将代码插入应用程序的关键路径中，以记录运行时信息（例如堆栈跟踪、参数、UI事件等），然后生成包含安全问题要点的报告。

SniperPhish：网络钓鱼工具包

鱼叉式网络钓鱼活动通常用于测试公司/组织中员工的安全意识。测试主要涉及网络钓鱼电子邮件和网站的组合，不仅要从设计网络钓鱼网站到以无法检测的方式在目标上执行有效负载，还需要一个平台将电子邮件发送给目标用户并跟踪活动进度。这个过程需要使用邮件服务器（发送电子邮件）和Web服务器（托管网络钓鱼网站），也就是跟踪电子邮件的发送状态和网络钓鱼网站中提交的数据。

通常，这两个域的数据收集相对容易，但是要合并这些数据并解决问题（例如邮件中的哪个受害者通过网站提交了数据）则更具挑战性和耗费时间。SniperPhish是用PHP开发的高级Web电子邮件鱼叉式网络钓鱼工具包，支持跟踪包含n个页面的网站中的数据，且报告生成模块中的高级自定义功能可帮助自定义列字段并导出多个输出。

CDK：零依赖容器渗透工具包

CDK是一个开放源代码的容器渗透工具包，可在云本地docker / k8s / lessserver部署中提供稳定的利用。它带有许多功能强大的工具和漏洞利用程序，而且无需任何操作系统依赖性，就可以做到轻松逃避容器并接管K8s集群。

Cotopaxi：物联网协议安全测试工具包

Cotopaxi是使用特定网络IoT / IIoT / M2M协议（AMQP、CoAP、DTLS、gRPC、HTTP / 2、HTCPCP、KNX、mDNS、MQTT、MQTT、MQTT-SN、QUIC、RTSP、SSDP）进行物联网设备安全测试的工具。不同于nmap或OpenVAS，能够支持所有新的物联网协议（如CoAP，DTLS。HTCPCP、QUIC）。项目链接：https://pypi.org/project/cotopaxi/

GitDorker：在你的GitHub中Dorking你所有的秘密

GitDorker是一个利用GitHubSearch API和从各种来源汇编的GitHub dork的广泛列表的工具，提供给搜索查询下GitHub上存储的敏感信息概况。此外，GitDorker还可以和其他工具一起使用，如GitRob或Trufflehog。

对抗式威胁探测器

近年来，深度学习技术得到了发展，使用深度学习的各种系统正在我们的社会中普及，另一方面，也出现了越来越多利用深度学习算法漏洞的攻击。“ Adversarial Threat Detector”（又名ATD）的漏洞扫描程序可以自动检测基于深度学习的分类器中的漏洞。通过执行“检测漏洞（扫描和检测）”，“了解漏洞（理解）”，“修复漏洞（修复）”和“检查已修复的漏洞（重新扫描）”四个周期，有助于分类器的安全。

CANalyse：车辆网络分析和攻击工具

CANalyse是一种软件工具，用于分析日志文件并自动查找唯一的数据集，且能够连接到简单的攻击者接口（如Telegram）。使用该工具时，可以提供bot-ID，通过电报在Internet上直接使用。CANalyse被安装在树莓派PI内，可以通过Telegram机器人记录和分析数据日志来利用车辆。

除了武器库，此次丰富的议题同样值得关注，比如：

消失的硬币：在Stratum中秘密窃取哈希率

研究人员首次介绍Stratum加密货币挖矿通信协议中的新型中间人(MITM)攻击方案。

Safari里的新攻击界面：只用一个网络音频漏洞来控制Safari

研究人员通过演示，讲解在由我国成都市政府主办的天府杯国际网络安全大赛中利用Safari网络音频漏洞进行的攻击。

一键式攻击的新时代：如何破解Install-Less应用

研究人员分享对Install-Less应用结构的主要观察结果，并对在苹果App Clips、Google PWA、Google Instant App和QuickApp 中发现的多个漏洞进行深入分析。

如何解锁智能门：跨供应商物联网访问控制中的安全隐患

物联网（IoT）设备越来越多地通过云进行管理，从而调节用户对设备的访问。例如只有授权用户才能打开门。这些云一般由设备供应商（Philips Hue，LIFX，Tuya等）或云提供商（Google Home，Amazon Alexa，IFTTT等）运营。

随着主流物联网供应商倡导新兴功能，即可跨不同的云和用户委派设备访问权限：例如，Philips Hue、August Lock等可允许Google Home控制其云中介导的设备，因此用户可以通过Google Home上的单个控制台来管理来自不同供应商的多个设备。具体来说，跨物联网云的访问委派是分布式的，异构的且未经验证的：每个供应商使用临时的隐式安全假设来自定义其委派协议。此外，研究人员还发现，复杂的委派服务通常跨云耦合，其中一个云很可能无意间违反了另一个云的安全操作和假设。通过对10种主流的物联网云（Google Home，SmartThings，IFTTT，Philips Hue，LIFX，August等）的调研，发现了5个严重的漏洞，危及数百万用户和数百个供应商。利用这些漏洞，恶意攻击者可以获得未经授权的物联网设备（例如智能锁、开关、安全传感器）的访问权限。

以上仅节选了部分武器库和议题，如需了解更多，可点击链接。

来源：freebuf.com 2021-05-08 14:31:02 by: kirazhou