智能生活的安全极客——清华大学第三届THUCTF颁奖暨网络空间安全学术论坛在京举行

11月3日，由清华大学信息化办公室指导、清华大学网络科学与网络空间研究院主办、清华大学学生网络安全技术协会承办的“清华大学第三届THUCTF颁奖暨网络空间安全学术论坛”在清华大学FIT楼举行。来自北京大学、北京邮电大学、北京航空航天大学、南京大学、天津大学、中科院信工所、软件所以及清华大学各院系的师生160多人出席了本次活动。清华大学网络科学与网络空间研究院段海新教授主持本次论坛。

清华大学学生网络安全技术协会的会长胡天易介绍了此次THUCTF的赛事情况，并公布了获奖团队名单。本次竞赛共产生了6支获胜团队，一等奖为mcfx战队王思齐；二等奖为catfish_after_brunch战队王纪霆和Konano战队郑林楷；三等奖为dram战队王瑞康 、will7101战队黄鹤飞和Smlight战队郑涌。清华大学信息化工作办公室主任尹霞教授、清华大学网络科学与网络空间研究院段海新教授，以及清华大学网络科学与网络空间研究院张超副教授为获奖者颁奖。

在主题为“智能生活的安全极客”学术报告分享中，GeekPwn活动发起和创办人，碁震KEEN创始人兼CEO王琦来到现场，与大家分享了GeekPwn 大赛五年来所经历的技术突破与创新思维，他指出，伴随技术社区的发展，GeekPwn 大赛已经突破了智能产品安全，早已向人工智能、云计算、工控、反偷拍、机器人等领域跨界延伸。“极棒其实不仅仅是个‘攻破比赛’，我们更多是想鼓励那些极客天才释放自己的能力，提供孕育未来优秀白帽黑客的土壤。”王琦说。

清华大学网络安全实验室汪嘉来分享了他在2019年度GeekPwn大赛中的获奖项目——欺骗AI：从定向到实际。他们的研究团队借鉴了传统软件中的定向模糊测试技术的思路，并提出了一套针对神经网络的定向模糊测试技术，能够在不借助模型内部知识的前提下，有效地生成定向对抗样本。同时，在真实场景下展开了探索，从对抗样本的普适性与实际性出发，成功攻击了当下流行的目标检测系统。

奇安信技术研究院研究员郑晓峰分享了清华-奇安信联合团队获得2019年度GeekPwn大赛第一名的项目——最熟悉的陌生人：一种新型的HTTPS劫持技术。HTTPS是为保护“端到端”安全通信而设计的协议，保护数据的隐私性、完整性和可靠性。近年来，HTTPS已越来越多地部署于各类网站，例如银行、电子商务平台等，是当前互联网安全通信的基石。然而，清华-奇安信联合团队的最新研究发现，利用Web PKI的生态缺陷，攻击者可以绕过HTTPS相关的安全防护，破坏通信过程的安全性。针对这种新型攻击方法，他们对主流网站进行了测量，发现很多流行应用可被劫持，包括在线支付、第三方登录、应用和文件下载等，其中涉及诸多主流知名厂商。目前，研究团队正在与这些企业联系进行漏洞的修复。

清华大学网络安全实验室沈凯文分享了关于CDN的DDOS攻击场景和相关原理，在主题为“欲速则不达：CDN DDOS大炮”的报告中，他复现了攻击者利用CDN通用实现缺陷对任意部署Web服务的站点进行DDOS攻击的场景。攻击者无需控制僵尸网络，仅通过较低配置的个人电脑、低带宽网络就可以发起大规模DDOS攻击，使对应的网站拒绝服务。

清华大学网络安全实验室杨皓为大家揭秘了在线博彩那些不为人知的故事。非法在线博彩的泛滥对社会带来巨大的负面影响，很多国家均颁布了相关法律进行禁止。尽管如此，由于其所带来的巨大利润，非法在线博彩网站仍然蓬勃发展。研究团队针对中国的非法在线博彩产业链进行调研分析和追踪，揭秘那些隐藏在这些非法行业背后的故事。

现场的参与者有多年进行网络空间安全学术研究的学者，也有刚刚接触网络空间安全并对这一领域充满了好奇的大一新生，针对人工智能安全、互联网协议漏洞、大规模互联网攻击、网络黑产等当下热门的话题，与会师生与报告分享嘉宾进行了深入而热烈的交流与探讨。