Zombilizing The Web Browsers Via Flash Player 9

Đây là slide về đề tài tôi trình bày tại VNSECON07. Các địa chỉ demo sẽ vẫn còn hiệu lực cho đến hết ngày 04/08/2007.

-----

Theo quan sát của tôi, nhìn chung ngày đầu tiên của VNSECON07 diễn ra hơi lộn xộn vì cách tổ chức chưa được tốt cho lắm. Tuy vậy, xin mọi người hãy cho BTC một tràng pháo tay, bởi tổ chức được những sự kiện như thế này không phải là dễ.

Về các presentation, do buổi sáng bận việc nên tôi không tham dự được. Nghe bạn bè nói lại, bài nói chuyện của van hauser về IPv6 khá rõ ràng và dễ hiểu. Còn về bài logical fuzzing, nhiều người cho biết họ không hiểu nên bỏ về trước. Đây cũng là vấn đề chính của các presentation, đa số các speaker đều rất nhiệt tình, tuy nhiên có một số bài hơi sâu và không có thông dịch viên, thành ra người nghe không tiếp thu được nhiều.

Đầu giờ chiều tôi có nghe được 2 bài về ".NET attacks" và "Automating Exploitation". Gọi là nghe nhưng do ngồi xa và không có sự chuẩn bị trước về máy móc nên đến giờ tôi cũng không nhớ được bao nhiêu. Rút kinh nghiệm, ngày mai tôi sẽ lên trên ngồi và đem theo laptop để vừa nghe vừa ghi chú và thực nghiệm luôn.

Sau đó đi lòng vòng tôi mới biết là vẫn có thi CtF. Ngoài ra còn có một web-application wargame. Thế là nhào vào chơi thằng web-application wargame. Trước giờ nếu có "phá phách" gì đó, tôi toàn làm một mình nên việc cả đám người ngồi tìm cách khai thác cái web-application mang đến một cảm giác rất thú vị. gamma rất khá, gần như có cách giải độc đáo nhất rồi :-p. Đang ở level 2 thì đến giờ tôi phải trình bày.

Việc chia thành 2 phòng mang đến một số khó khăn, ví dụ như một số bạn bè tôi không thể tìm được phòng 021 để nghe phần trình bày của tôi. Tôi nghĩ BTC nên rút kinh nghiệm, ngay ở cổng ra vào, có một tấm bảng lớn ghi rõ speaker nào trình bày ở phòng nào vào lúc mấy giờ và có người hướng dẫn đến các phòng.

Phòng trình bày của tôi hơi nhỏ và khá nóng, tôi trình bày xong cả người ướt đẫm mồ hôi. Rút kinh nghiệm những lần làm presentation trước, tôi đã tính toán thời gian trước nên toàn bộ bài nói của tôi diễn ra gần như chính xác với thời gian biểu mà BTC cung cấp.

Nhìn chung so với các speaker khác, tôi có lợi thế là trình bày bằng tiếng Việt và nội dung đề tài không quá chuyên sâu, dẫu vẫn có nhiều chỗ đòi hỏi người nghe phải có một trình độ nhất định. Có thể vì lý do này mà phần Q&A diễn ra khá sôi nổi, kéo dài hơn 30'. Nếu bạn nào còn thắc mắc gì đó, cứ gửi lên đây, tôi sẽ cố gắng giải thích.

----

Ngày mai tôi sẽ đến sớm đến tham dự CtF và dứt điểm nốt cái web-application wargame còn đang dang dở. Danh sách các tham luận được trình bày ngày mai cũng tương đối hấp dẫn; tôi sẽ cố gắng nghe các bài "Lost battles in security and future in hacking" của van hause, "build your own GSM inteceptor for $900" của skyper, "speeding up the exploit development process" của Jerome Athias và "Unintrusive Back in Time Java tracers: Methods and Practices" của namnt.
Phần cuối của hội thảo có hội nghị bàn tròn, tôi nghĩ cũng sẽ khá thú vị, bạn nào sắp xếp được thời gian nên đến tham dự.