XPwn 2017探索未來盛會遙望，迎接我們的會是少數派報告的世界嗎？

當我們充分享受高科技帶來的快捷與便利時，也許也在不知不覺中出賣著我們的隱私……甚至更多。可能在並不遙遠的將來，我們都會成為機器眼中的透明人？部分重複勞動、低技術崗位大量被AI取代？大數據+機器學習打造出的超級智庫已經在幫助人類甄別犯罪行為了，幾十年後會不會發展到預測犯罪，《少數派報告》的世界會成為現實嗎？

那個時代的人類回望幾十年前，不知是否會發出一聲長嘆。人類啊，你還是圖樣圖森破，不知道命運饋贈的禮物，早已在暗中標好了價碼。

也許我們真的走到了科技發展的關鍵拐點，好在我們還有機會，有那麼一群人，一直奮鬥在信息安全和大數據、機器學習、AI等前沿科學的第一線，為了避免我們的世界線走向黑暗而努力著。今天在北京朝陽區751D-Park舉辦的XPwn2017未來安全探索盛會就匯聚了這樣一群精英大咖，分享近年來在突破中進行創新的經驗心得，議題也大多有點兒意思，馬上開始吧~

手機里突然多了個APP，什麼我這就成主角了？

關於P5的梗咱們文末彩蛋再聊，咳咳……在現實世界中，手機里突然冒出來一些莫名其妙的APP，恭喜你，那多半說明你已經中招了。來自螞蟻金服巴斯光年安全實驗室的兩位安全專家曲和、超六（這兩位挺有意思，一唱一和很有講相聲的潛質）來為我們解答了這些疑問。

兩位安全專家準備了四個演示環節，分別是遠程安裝任意APP、遠程裝卸APP、遠程破解鎖屏和遠程本地安裝卸載應用。另外，所有進行測試的設備，都使用了較新的安卓6和7系統，並且打上了最新的安全補丁。不出意料，曲和負責講解，超六負責實操，順利完成了四次滲透演示。

攻擊過程是這樣的，假設有一個用戶，他收到我們發送的惡意的鏈接。他只需要點擊鏈接，就會自動安裝我們事先準備好的惡意應用，並且彈出攻擊成功的提示頁面。

超六為大家解釋道。

通過社工手段誘導用戶點擊鏈接，安裝上惡意程序之後，你的手機和他們的手機也沒啥區別了。

「小黑車」創業指南

O2O行業最近有點不好過，街邊五顏六色的共享單車走了一茬又一茬，當初說好的顏色不夠用呢？拋開運營不談，共享單車在整體上也比較缺乏安全意識，百度安全實驗室XLab的安全專家高樹鵬和黃正通過測試車鎖，發現車鎖加密使用犯了一個錯誤：車鎖中有一張晶元，可以從雲端通信，只要可以攔截通信的內容，破解開鎖就很容易了。

他們開啟基站設備，通過基站設備引誘車鎖進行遠程開鎖，整個過程不到一分鐘。伴隨著咔擦的開鎖聲，台下響起了一片歡呼和掌聲。

台上一分鐘，台下十年功不是隨便說說的。高樹鵬和黃正的破解立項是非常苦的事情，拿到部件之後，想要把它完整代碼還原回來，非常費時間。

OFO的車鎖沒有發電裝置，為了省電，它在正常情況下不和服務端通信，只有在上鎖的一瞬間和伺服器發生短暫通信（摩拜單車則是實時通信）。XLab利用一台小型網路信號嗅探設備，截獲了車輛和雲伺服器之間的通信，發現通信做了強加密。於是我們利用逆向工程技術，分析出了加密協議的弱點，從而解密了經通信協議加密的數據。

接下來兩位安全專家還逐一演示了密碼攔截、中間人攻擊直至遠程強刷OFO固件，至此小黃車除了還是黃的，基本已經可以改名叫「小黑車」了。

這樣破解別人的設備，就不怕被懟嗎！

高樹鵬老師是這麼解釋的：

啊？為什麼要來懟我們？我們是本著安全研究的目的去破解的，幫他們發現了程序漏洞，避免被黑產利用、薅羊毛（請關注本站後續的薅羊毛黑產報告，比較詳盡）什麼的。維護了他們的利益和用戶的權益。後期我們（百度安全）也會積極配合廠商修復漏洞，希望通過百度的安全能力為更多智能設備廠商解決安全問題。

好好好，你帥你說的都對。OFO還應該來謝謝你們咯……

除此以外，我們了解到除了共享單車，其他智能設備也多多少少存在相似的問題。

便民醫療APP還便利了誰？

現在主流的醫療移動應用包括預約挂號、在線問診、導診等功能，在挂號難就診難的醫療環境下，這些移動app大大便利了普通市民的生活，可隨之而來的問題是，患者的信息被上傳至網路，用戶隱私泄露成了一個重大隱患。如果這些信息被不法分子利用，那將有什麼樣的後果？移動醫療是否正好給這些心懷叵測的人提供了一個渠道？

來自神州網雲冰狐安全實驗室的李立兵老師對此做了詳細分析，並在會上發表了《移動醫療APP安全白皮書》的內容梗概。移動醫療領域市場規模增長很快，但無論是院方還是開發者對移動醫療安全的重視都明顯沒有跟上市場增長的速度。李立兵老師希望《移動醫療APP安全白皮書》可以從本地數據安全、數據傳輸安全、代碼保護、交互安全四個方向建立起移動醫療設備的安全檢測標準。

除了四個APP的安全檢測標準，還有一個不容忽視的問題，就是服務端安全。在這裡我們可以很好借鑒陳忠實先生在談《白鹿原》處理性與愛的三個原則，就是不迴避、撕開寫、不做誘餌。

也就是說，在伺服器端安全的檢測過程當中，應充分考慮移動安全和網路安全法，強調用戶的隱私保護。安全檢測目的，是發現問題、及時上報，促進修復改進，不能變成入侵行為。

李立兵老師也提到：

近些年來，邏輯漏洞是越來越重要，也是越來越多了。因為很多系統架構很複雜，裡面有很多業務的邏輯，如果沒有把控好，很容易出現越權的漏洞。

如果說手機終端安全和智能鎖被破解還顯得有點兒縹緲（其實並不），醫療行業的安全隱患就絕對可以用觸動人「心」來形容了。前幾天剛曝出46.5萬台心臟起搏器漏洞還歷歷在目，身體植入晶元也早就不是什麼新鮮事兒了。這可都是關乎性命的大事兒，不容有失。

AI時代的智慧工作

百度AI負責人劉勇老師向我們分享了百度自己的經驗，他們通過生物特徵（臉部識別、聲音識別等）設計了一系列的認證體系。除此以外，AI還可以替代一些簡單的體力勞動和低技術的腦力勞動，並給複雜的腦力勞動加強武裝。

用劉老師自己的話來說，百度這幾年是「ALLIN」到了AI科技上。百度研發的以生物特徵為基礎的身份認證體系已經很成熟了，目前百度內部已經把人臉作為員工的主要數據，所有數據統一起來，有統一的註冊入口，整個流程中心統一管理。

對於PPT演示的人臉打卡，劉老師是這樣評價的：

百度上班不打卡，這個打卡是我們直銷分公司，他們都是朝九晚五。還有一個是我們銷售，還有服務團隊，他們自發使用我們人臉考勤，我們沒有推廣。再強調一下，百度上班不打卡！

好了好了，我們知道了，百度上班不打卡……

接下來的話題比較有意思，劉老師提到百度的AI系統會給員工做出畫像（不侵犯隱私），並通過內部社交網路收集的數據進行離職預測、個性化學習發展、甚至是智能招聘。來自AI的挑戰也許會來的比我們想像地更早，雖然今天看不到、明天看不到、後天也看不到，大後天可就不好說了。

劉老師除了介紹研究成果，也向我們分享了一套百度的方法論，就是學會擁抱變化，敢於在公司內部做試驗田。據說百度的很多項目也是內部實施不錯，才開始逐漸討論商業化外推可能性的。

說了這麼多AI的好，上個月剛結束的CSS大會上美國加州大學伯克利分校DawnSong教授分享的議題中提到，以AI服務安全確實是一項新興的技術議題，但AI為攻擊者創造的價值，卻從來不會比防禦者低。

難道所有技術的發展，終究都會成為進攻方手中的利器？這是一個值得思考的問題。

網路錄像機，你要錄給誰看？

提到錄像機，大家可能較少見到，但這種設備在行業里應用非常廣泛，使用監控攝像頭的地方都能看到它的身影。

四維創智的兩位研究員胡一米和李敏老師分析了目前市場上主流品牌的錄像機產品，發現裡邊不少產品都存在較嚴重安全隱患，比如現場展示三星、Honeywell兩家的產品，均可獲取設備控制許可權。

互聯網金融APP信息安全依然堪憂

來自移動互聯網系統與應用安全國家工程實驗室（足足19個字！）的何坤、慶駿凡老師，探尋了當前互聯網金融的安全現狀。他們檢測了市場上排名前100的金融平台，從多個維度評估應用本身的安全設計，而每個APP都存在不同程度的安全問題。

在他們的調研中，最普遍的問題集中在加密演算法的不安全使用、應用程序缺乏保護措施、本地文件、以及系統日誌敏感信息泄露等方面。

眾所周知，金融服務企業們正在尋求各種機會，希望能夠利用技術來定義、差別化或支持他們的業務戰略。他們將全數字化轉型視為獲得業務價值、顛覆市場和領先競爭對手的一種方式。但是，隨全數字化能力而來的還有複雜性。互聯網金融本身數字化屬性，以及傳統金融機構數字化轉型帶來的是數據、系統和網路各方面的風險。

場外花絮

酒會上很棒的小姐姐

百度安全小展台，對我就是來拍小姐姐的

機器人格鬥擂台，Real Steel！

螞蟻金服小展台神秘的「老壇酸菜」，汪涵人呢？

彩蛋

為啥手機自動安裝APP就會成為主角？

這個梗可能有點兒深，但思前想後我還是準備把它寫出來（誰讓P5天下第一呢）。話說有個日本轉學高中生，突然有一天發現手機里自動安裝了一個導航程序，還怎麼刪都刪不掉。他不僅沒有第一時間檢查手機是不是中毒了，反而通過這APP發現了進入他人內心世界的秘密，從此一舉成為東京偶（pao）像（wang），也許這就是主角的人生吧。

不過作為普通人，我們如果遇到相似的情況，記得第一時間恢復出廠設置或者刷機哦~

還有更多關於XPwn2017的有趣議題，因為篇幅原因沒有一一單獨介紹，有興趣的話不妨看看咱們的圖文直播一探究竟。

* FreeBuf官方報道，本文作者：Akane，未經許可禁止轉載

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！