2011零天应用安全漏洞分析及趋势展望

　　来自安恒的Tony是Web应用安全的专家，他给大家带来的是过去一年中网络上发生的Web安全事件和各种Web应用构架上的缺陷0day的总结。在他的报告中，我们可以看到从国外到国内，各大应用服务商或明或暗的都在不同程度的遭受网站攻击，用户数据被窃取的损失，就在笔者写作的这两天，国内又刚刚发生了几个著名网络用户数据库被黑客公布的事件。同时，从软件的角度，几乎所有流行的Web应用程序，包括各大Webmail网站，都在被不停的发现着各类0day漏洞。在普通的用户眼中，社交网络的世界是一个繁华世界，可是在安全研究人员的眼中，那里就是一片猛兽潜伏的原始森林。结合许榕生教授的演讲，安全如果仅仅依靠服务商和软件提供者，用户迟早都要遭受损失，如果用户本身的网上安全意识能够提高，就可以进一步降低可能带来的危害。

　　从心理到推理——社会工程学的延伸

　　ISF最好的地方就是你永远可以听到一些在平常的安全会议上听不到的内容。水波的演讲告诉大家，在研究那些犯罪的技术同时，更要注意到使用技术的是人，心理侧写(profile)技术的应用可以有效的帮助我们更好地理解黑客是如何犯罪以及如何更准确地去定位和找到他们。如果熟悉美剧《犯罪心理学》的朋友可能对心理侧写这个词并不陌生，在该剧的每一集中FBI的专家们都会根据犯罪分子留下的蛛丝马迹去合成和刻画这个人的特征，他是什么年纪，他是什么工作，他的种族，他的性格，就这样一步步定位到最后的目标。水波指出，在网络犯罪的调查中，心理侧写可以发挥同样的作用，当然黑客们往往本身也是掌握这门技术的好手，做一个攻击对象的心理侧写，可能是很多精英黑客实施社会工程学的必要步骤。

　　对会议有兴趣的读者可以在网站isf.cisrg.org上看到进一步的会议信息，上面提供了详细的演讲者的介绍以及会议的PPT下载。最后要感谢会议的主席Billy和承办方安天公司(ANITY)为大家带来这么精彩的一次会议。

　　ISF历届会议的地址

　　2008年年会主题为首次会议，会议议程：N/A，会议PPT下载地址：http://code.google.com/p/isfproject/downloads/detail?name=ISF2008.rar

　　2009年年会主题为Web安全，会议议程：http://isf.cisrg.org/past/2009/speaker.html，会议PPT下载地址：http://code.google.com/p/isfproject/downloads/detail?name=ISF2009.rar

　　2010年年会主题为云安全，会议议程：http://isf.cisrg.org/past/2010/speaker.html，会议PPT下载地址：http://code.google.com/p/isfproject/downloads/detail?name=ISF2010.7z

　　2011年年会主题为社交网络安全，会议议程：http://isf.cisrg.org/index.htm，会议PPT下载地址：http://code.google.com/p/isfproject/downloads/detail?name=ISF2011.7z
　　(作者单位为东南大学计算机系)