一年一度的阿裡安全峰會創立于2014 年，今年已是第三屆，于7月13-14日在北京國家會議中心舉辦。峰會旨在促進亞太區資訊安全行業發展，為本地區資訊安全組織、資訊安全專業人士和決策者搭建一個資訊交流展示平台，探讨目前安全行業的最佳實踐、熱點議題、資訊安全人才培養、新興技術與發展趨勢等。2016阿裡安全峰會設立12個分論壇，數十家領軍企業參與、國内外頂級安全專家演講，在電商金融安全，移動安全，威脅情報，人才培養，電子驗證等熱門安全行業問題進行深入探讨與交流，除此之外大會前一天還進行了頂級電商安全移動安全等方向的專業安全技術教育訓練。
在2016阿裡安全峰會的第二天的“<b>安全攻防</b>”專題論壇，騰訊電腦管家安全研究員鄭文選、漏洞盒子進階安全研究員陸柏廷、安恒資訊進階安全研究員鄭國祥、四維創智技術副總裁司紅星、unicornteam無線通信安全研究員張婉橋、獵戶實驗室首席安全研究員潘立亞、四葉草首席安全官朱利軍、東巽科技cto李薛、騰禦安資訊基礎架構安全運維楊旭為我們帶來了精彩演講。
鄭文選，騰訊電腦管家安全研究員，主要研究方向是反病毒和漏洞攻防。曾為研究equation
group，成功破解了硬碟固件并實作了一個隐藏在其中的後門；geekpwn 2015，成功破解海爾智能家居；geekpwn 2016，所在團隊1秒攻破微軟surface pro4并獲得“最霸技術獎”；pwn2own2016，所在團隊3秒攻破adobe flash player并最終獲得了master of pwn稱号。
一直以來，flash player的安全性都備受質疑，15年hackingteam洩露事件更是将其推到了風口浪尖。adobe痛定思痛，在随後的版本中為flash player增加了很多新的安全特征和防護機制，極大的增加了漏洞利用的難度。早期的利用方法完全被堵死，也鮮有看到新的利用思路出來。
在本議題中，鄭文選以騰訊安全sniper戰隊在pwn2own 2016中3秒攻破adobe
flash player為背景，介紹flash player新版本中一些關鍵的安全特性和繞過思路，以及對未來flash player漏洞攻防的展望。
陸柏廷，漏洞盒子進階安全研究員，專注業務安全、安全開發和移動安全，負責大量安全測試項目，有豐富的安全服務及咨詢經驗，并參與網藤風險感覺系統的研發，對安全測試和安全開發有較深的積累。
陸柏廷由使用者認證這個典型業務場景的漏洞挖掘技巧，講述了安全人員與開發人員之間的燒腦博弈，主要包括使用者認證處可能遇到的各種邏輯問題及産生原因，最後總結業務邏輯漏洞高效的挖掘方法。
鄭國祥，杭州安恒資訊技術有限公司進階安全研究員，從事web應用安全研究，擅長漏洞挖掘，源代碼分析。長期研究源碼的靜态和動态分析方法，熟悉各種安全web架構，防禦繞過技術等。為多個src平台提供大量安全漏洞，2014年獲tsrc最佳專業獎，2015
騰訊tsrc漏洞之王，發現多個cve漏洞嚴重漏洞，其中包括了s2-029, s2-032等漏洞。
鄭國祥介紹了web架構安全漏洞的fuzzing測試，利用靜态代碼流程分析，結合fuzzing跟動态檢測機制挖掘架構0day，突破漏洞利用限制将雞肋漏洞轉變成嚴重漏洞。
司紅星，四維創智技術副總裁，常年從事apt攻擊與防禦技術研究，擅長網絡攻防技術，具備豐富的實戰經驗，思路猥瑣，手法飄逸，在公司帶隊研發多個資訊安全産品，将自動化滲透思路帶入企業安全防禦體系，緻力于打造一個具備進階攻擊能力的自動化滲透平台，讓每一家公司都能雇得起高品質“白帽子”。
司紅星談到，新時代下，網際網路安全越來越受重視，然而人才缺乏，資訊安全工程師缺乏高效的滲透測試裝備，傳統企業雇傭不起高品質白帽子。本議題中，司紅星從自動化滲透出發，讨論了如何建立一套能達到中上等滲透測試水準的自動化滲透平台，提升安全從業者工作效率，降低企業安全運維成本。
張婉橋，unicornteam無線通信安全研究員。
張婉橋以《短距離無線系統與航空無線電系統攻擊》為題進行了分享。
潘立亞，獵戶實驗室首席安全研究員，擅長web攻防、模組化分析。
他介紹了在漏洞挖掘中分析保護資料（積極防禦）的規律方法并且根據積累的資料對攻擊和防禦研究創作。
朱利軍，四葉草首席安全官，國内頂級安全資訊專家，接觸和從事安全行業至今8年。現擔任cso（首席安全官）職務兼cloversec labs實驗室負責人。對複雜環境下的網絡攻防有深入研究，負責與組織與公司相關的網絡攻防大賽，各次大賽均得到業界各人士的一緻好評，并創造了國内單場比賽參賽人數最多的業績。主持并帶領團隊進行了國内知名廠商嵌入式裝置漏洞挖掘，以及對全球25款安全防毒軟體進行漏洞研究，發現高危漏洞若幹。
朱利軍從“網際網路＋”的安全威脅入手，介紹“網際網路＋”下都存在哪些安全威脅和“網際網路＋”環境下各類安全威脅的漏洞研究思路。針對web、安全防禦軟體、工業控制系統、智能聯網裝置等漏洞研究的方法與思路。然後站在黑客的角度思考，如何快速定位與發現“網際網路＋”中的漏洞，最後以幾個實際的漏洞挖掘執行個體介紹漏洞研究的靈活思路。
李薛，現任東巽科技cto，中國科學基金委員會評議人。李薛曾主持過多項部委級安全科研項目，連續兩年擔任xdef峰會演講嘉賓，是中國較早的一批研究網絡攻防技術團隊的成員，在網絡安全研究方向擁有15年的經驗積累，同時具有8年技術團隊管理經驗，現就職于東巽科技公司，帶領團隊從事apt研究工作。
他描述了機器學習在惡意樣本檢測方面，如何一步一步從零走過來，如何在問題面前做選擇，如何逐漸改進，如何跨坑，如何落地，還有需要重點考慮和注意的要點，以及在疊代改進的研究工作流程。
楊旭，騰禦安資訊基礎架構安全運維。
楊旭以《debian gnu/linux安全合規之路》為題進行了分享。
峰會實錄，内容持續更新中，敬請關注！
![Shell程式設計——sort排序、uniq忽略重複、tr替換壓縮删除、cut指定删除字段、正規表達式元字元sort 指令uniq 指令tr 指令cut 指令正規表達式[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)