“天府杯”漏洞挖掘论坛开讲！满足你对漏洞挖掘的全部求知欲

2018年11月16日至17日，由360公司、百度、腾讯、阿里巴巴、清华大学与中科院等多家企业和研究机构在成都联合主办了首届“天府杯”国际网络安全大赛暨2018天府国际网络安全高峰论坛。大赛期间，除开展了“天府杯”国际破解大赛外，还举办了多个大咖云集的网络安全论坛。

作为我国最大的网络安全公司，360在此次活动中还主办了“漏洞挖掘论坛”，旨在与安全从业者们共同探讨关于漏洞挖掘的现状与发展。在漏洞挖掘方面，360旗下不仅有号称“漏洞挖掘机”的安全团队，还有具备强悍智能学习与分析、漏洞挖掘等功能的分布式智能安全系统“360安全大脑”。据悉，360在2017年发现漏洞总数达到519个，是全球挖掘漏洞最多的安全厂商。

在漏洞挖掘论坛上，许多来自企业和研究机构的网络安全负责人从各个角度进行了专业的分享与讨论。

360代码安全实验室高级安全研究员柳本金在现场分享了《基于开源 工具 的模糊测试技术与应用实例》。他在演讲中指出，要充分理解漏洞的基础上才能把漏洞修复好，才会开发好补丁程序，否则会适得其反；并建议厂商提供补丁修复建议奖励，提高补丁开发的质量和效率。

360安全专家李建旺针对 PHP 反序列做了深入报告，介绍并分享了所在团队对WEB安全相关研究和在攻防领域从前端到后端，从脚本到系统，从开发到渗透，所积累的多年经验。

腾讯安全研究员秦书锴则发表了题为《智能家居新型攻击面研究》的演讲，他认为在未来的智能家居中，新的攻击面不仅会一直存在，还将产生新的漏洞并让不严重的漏洞严重起来。

阿里巴巴安全专家郑旻讲解的《XNU内核对象永恒之战》，则以“常被越狱的苹果”为例，详细介绍了XNU内核对象保护的相关内容，引发了现场的热烈讨论。

成都商用密码技术研究院院长吴震带来的议题是《密码实现的物理攻击》。在许多人印象中，常常存在着“密码算法安全=密码实现安全”的刻板印象，其实事实可能并没有这么简单，吴震从密码算法、现实、安全和针对密码现实的攻击实例与被动攻击等方面，对密码实现的物理攻击做了全面分析，并指出了一些关于密码安全性的探索方向。

清华大学网络研究院副教授、“国家青年千人”张超发表了《自动化漏洞利用探索》的演讲，他针对自动化漏洞的研究背景与原因、当前进展与未来发展方向做出了详细的介绍，其中还深入浅出地讲解了许多实际案例，可谓干货满满。

来自北京大学信息安全实验室区块链安全研究团队的负责人高健博带来了关于《智能合约安全漏洞的自动化挖掘方法》的分享，自动化漏洞挖掘方法将提高智能合约的漏洞发现与修复的效率，提高智能合约的安全性。

我们已经进入大安全时代，网络安全不仅仅是电脑安全，还涉及到国家安全、社会安全、民生安全和我们个人的人身安全。而系统永远不可能完美，总会有漏洞存在，这就需要安全人员与那些利用漏洞进行非法牟利的不法分子进行博弈。未来，“漏洞”将是最具威胁的网络武器之一，如何做好网络安全中的漏洞挖掘工作，如何全方位保障网络安全，还需要更多如“天府杯”这样为各大厂商、企业以及众多研究人员提供交流与探讨的平台，只有各方协同联动，才能建设更完善的安全体系。