当共享汽车被“免费”解锁，智能汽车被远程控制，在线视频被窃听，我们的智能生活还安全吗？如果将未发生的安全隐患提前演练，在危险到来前及时修复漏洞，智能生活是否会更美好？今年的 GeekPwn 安全极客大赛也许能带我们找到答案。

共同维护网络安全的伙伴们

继续GEEK吧！

关注GeekPwn视频号

即可观看GeekPwn 2022安全极客大赛

直播回放

GeekPwn 2022安全极客大赛已经播完三期了，今晚将迎来收官之战！话不多说，PWN君这就为大家带来今晚收官之战的亮点剧透，以及昨天第三期直播的高能时刻！

戳图👇，收官之战直播亮点抢先「剧透」：

AI识别人脸有新玩法？选手让AI成为造像师；亲自锁得好好的车，怎么就找不着了；清华直博生与最强大脑“脑王”强强联手，只为了发一条“短信”……更多奇思妙想，今天19:00，锁定直播间，第四期收官之战，我们拭目以待！

另外，第三期直播的高能时刻PWN君也为大家准备好啦，一起来看看吧！

来自无踪实验室的三位极客，在《形同虚设的车锁》项目中，三分钟不到就完成了第一部分的挑战——远程解锁汽车车门，不仅如此，随后选手还能实时获得该汽车的位置信息。这形同虚设的车锁确实为大家敲响了安全警钟。

虚拟机逃逸是网安领域公认的高技术难度挑战，也是顶级极客赛事的必备项目。光年虚拟化小分队就非常勇敢的选择了这个高难度的挑战项目。最终，他们以过硬的技术和流畅的操作，成功实现了虚拟机“逃逸”并获得了指定文件！经过评委的热烈讨论，获得了6.04的高分，暂列第一名。在他们身上，我们也看到了勇于挑战的极客精神！

“喂，偷电瓶养你呀”！在第三期直播中，这句热梗居然变成了一个挑战项目。来自北京的民间团队“窃·格瓦拉”再次出发，今年瞄准了贴近生活的充电柜。仅用二十几秒就打开了充电柜柜门，还实现了免费充电！速度之快也让现场评委惊讶不已。

大家还记得去年《我是极客》中挑战“被挟持的胰岛素”的野生极客曾颖涛吗？今年，曾颖涛再次回归极棒舞台，带来新项目——《真·无钥匙启动》。比赛中，选手契而不舍挑战一辆车但迟迟未启动，最后终于在还剩一分多钟的时候成功解锁并开动另一辆车。二十分钟的挑战时间，面对突发状况选手没有放弃反而在现场积极尝试新解法，体现了追求极致、永不放弃的极客精神，获得了评委的一致肯定。最终获得5.39分，暂居总榜第四名！

*极棒大赛及节目组始终坚持严格的负责任信息披露原则，与获胜选手共同将详细的技术信息提供给相关厂商或机构，协助其修复缺陷，助力产业安全发展。

今日份的高能君——PWN君如约而至！见证了前两期超强“极客力”，PWN友们是不是也跟PWN君一样，被极客们的各种脑洞折服？第三期直播也将于今天19:00准时开始，老时间老地点，我们今晚也不「PWN」不散！那现在快跟PWN君一起，来看看今晚还有哪些奇妙脑洞吧！

马上戳图👇，看今晚第三期直播亮点「剧透」：

确认已锁好的汽车不仅车门大开，还不知不觉暴露了定位；虚拟机逃离云端母体将会何去何从；将共享充电柜变为“私人”充电柜，现场将还原充电柜被“薅羊毛”的始末；没有钥匙也能开走你的汽车，极客选手将在现场上演《极盗车神》现实版？

除此之外，PWN君还为大家准备了昨天首播的高能时刻集锦，快来一起看看极客们如何玩转各种脑洞的吧！

汽车钥匙的数字化发展，也带来了新的安全风险挑战。来自星舆车联网实验室的芝麻开门战队，人狠话不多，在距离目标车辆30米的情况下，凭借自制的脚本，仅用时3分钟就成功多次解锁目标车辆，并拿到了评审放置在车内的“GeekPwn”牌子，PWN君都要怀疑他们是不是拥有了“万能钥匙”......

来自清华大学NISL实验室物联网安全研究小组的四位选手，把目光投向了越来越普遍的电动汽车充电桩。经过选手们的一顿操作，在手机订单不扣费的情况下，汽车充电居然仍在继续！他们到底做了什么，大家可以去回放中寻找答案！

办公文档在工作中处处可见，当它一旦“沦陷”，那后果可能会非常严重。ZZZ战队，通过自制含有特定代码的特定格式文档远程获取了目标电脑的控制权，并拿到了指定文件信息。办公文档暴露的安全问题和可能会引起的严重后果也为大家敲响了安全警钟。

*极棒大赛及节目组始终坚持严格的负责任信息披露原则，与获胜选手共同将详细的技术信息提供给相关厂商或机构，协助其修复缺陷，助力产业安全发展。

GeekPwn 2022安全极客大赛系列直播的第一期昨晚已经正式结束啦，PWN友们是不是都有点意犹未尽？别着急，第二期直播将于今晚19:00开始，让我们精彩继续！现在离直播还有一段时间，那PWN君就来为各位PWN友们剧透一下今晚的直播亮点，以及回顾一下昨天首播的高光时刻吧！

马上戳图👇，今晚第二期直播亮点「剧透」：

极客将化身“魔术师”，不仅对智能汽车实现千里追踪，还能让智能汽车“不翼而飞”？随处可见的充电桩居然能“免费充电”？十分常见的办公文档，表面看起来“波澜不惊”，结果居然“暗藏危机”？有人可以若无其事解锁你的汽车？是不是听起来很“离谱”？欢迎锁定今晚的直播间，我们一起来见证这些「不可能」！

除此之外，PWN君还为大家准备了昨天首播的高能时刻集锦，快来一起看看极客们如何玩转各种脑洞的吧！

由三位极客组成的“即刻Zero”战队，盯上了风靡全球的机器狗。虽然中途发生了一些“小插曲”，但最终他们及时改变战术并在规定时间内获得了机器狗的操控权限，成功让机器狗做出了“前进”、“后退”，甚至是“跳舞”等动作，精彩表现也获得了“水哥”王昱珩的肯定。

“百辨音音”战队也是大有来头，团队成员曾经获得GeekPwn2018“数据追踪挑战赛”第一名和“GeekPwn2017”仿声验声攻防赛第三名。此次挑战中，他们最终挑战成功并获得了5.76分，暂列G-TOP年度极客榜第一名。

“安全出行，人人有责”，这是TQL战队的参赛宣言，当然这也与他们此次挑战的项目有关。挑战中，TQL战队两名成员分工协作，仅用55秒就成功解锁了三辆目标车辆，还取走了车内的指定物品，最后拼成了图案“PWN”！完成速度之快，让主播与评审们惊叹不已。

来自天工实验室的“锦鲤养殖团队”，这次不是来养锦鲤的，而是来上演现实版的《窃听风云》。挑战中，他们不仅潜入了现场的视频会议获取到了VOIP话机中的视频和音频，还在视频话机上播放了搞笑视频，让现场主播大开眼界，爆笑不断。

*极棒大赛及节目组始终坚持严格的负责任信息披露原则，与获胜选手共同将详细的技术信息提供给相关厂商或机构，协助其修复缺陷，助力产业安全发展。

亲爱的PWN友们，一年一度的攻防盛宴今晚终于就要拉开帷幕了！去年，极棒推出了首个安全极客挑战节目《我是极客》，以攻防秀的方式预演现实世界的安全威胁，让更多大众对极客群体有了进一步了解。

今年，极棒再次全新升级，以系列直播的方式重磅回归！

10月29日-11月1日，每天19:00，连续四天四场直播，届时将呈现十六个脑洞大开的极客原创安全挑战项目，更有大咖嘉宾空降直播间，陪PWN友们一同观赛！

今晚直播首期亮点抢先「剧透」！速戳下图先睹为快！

现场发生了什么，竟然让新晋网红机器狗从“萌宠”变身“间谍”？通过变声器听到的萝莉音到底是真是假？如何才能找出声音背后真正的“TA”？锁好车门的汽车竟也会“自动”解锁变共享汽车？已然成为办公日常的视频会议竟神不知鬼不觉的混入了“不速之客”……

更多你意想不到的“隐秘角落”，敬请锁定今晚19:00，GeekPwn官方视频号，极客版“最强大脑”，我们拭目以待！

10 月 28 日 - 11 月 01 日

《我是极客》直播  精彩开启

金 权

安恒信息猎影实验室/卫兵实验室-高级安全专家

7年网络安全从业经验，擅长Windows平台在野0day狩猎与Windows漏洞挖掘，多次捕获针对Windows平台的在野0day，累计获得超过40次Adobe和微软的CVE致谢，2020~2022连续三年入选微软MSRC TOP 100。曾在Blackhat USA 2022、HITB2021AMS、Bluehat Shanghai 2019会议进行演讲。

1、《安卓APP加固攻与防高级篇》

时间：10.22（周六） 9:00-18:00

地点：上海

*训练营是峰会前一天哦！

移动互联网时代APP百花齐放，让我们的生活丰富多彩。于此同时，APP安全已经成为了互联网安全不可或缺的一员。对于企业来说，如何保护自己研发的APP的代码安全，常见的安卓平台APP代码保护手段有哪些以及如何对抗黑灰产人员惯用的逆向分析手段，对于一个公司来说，都占据着举足轻重的地位；同时，今年来针对移动平台的APT攻击也层出不穷，对于安全研究人员来说，实现对安卓平台恶意APP的逆向分析和取证工作，快速完成安卓平台恶意代码的静态分析和动态分析，澄清机制，也是安全研究人员不可或缺的技能。

可以说，对于安全研究人员来说，熟练掌握安卓平台APP的加固与脱壳技能已成为移动互联网时代安全研究人员的一项必备技能，也是职场上升职加薪的强大竞争力。

针对企业自身研发的APP开展代码混淆与加固保护可以有效提升逆向分析难度。于此同时，加固也可以有效应对恶意攻击人员针对自身APP的核心代码的逆向分析和漏洞挖掘，甚至是简单的对抗诸如重打包、刷单等黑灰产。本次课程对Android平台APP的常见逆向分析手段进行授课，重点围绕安卓APP加壳原理与技术发展、Okhttp3网络框架快速逆向分析手段、证书绑定绕过技巧、Smali控制流混淆的解决方案等开展。课程中间也包含动手实践阶段，带领大家一步一步掌握常见加壳技术的解决方案、APP网络协议的分析、ART解释器引擎底层原理等相关技能。

1、从dex的整体保护开始，详细介绍加固技术的发展和每一代加固技术要解决的问题；

2、包含各加固技术的具体案例和分析，包含ART下的抽取壳、VMP壳以及dex2c壳的原理和案例分析；

3、包含FART全自动脱壳机框架和原理分析，以及FART要解决的问题以及如何进行二次开发拓展；

4、包含基于OkHttp3网络框架的网络通信协议的快速分析、证书绑定手段的快速定位和绕过等；

5、包含基于ART解释器引擎定制快速解决Smali控制流混淆的解决方案；

有一定基础的Android逆向研究人员，对Android安全感兴趣，强烈想了解Android常见逆向分析手段的安全研究人员。

*本课程需由学员自带笔记本电脑。

老司机带你洞悉Android常见代码保护手段、安卓安全人员必备的逆向分析技能。

1、主办方将赠送1部手机用于学习；

2、主办方将为学员提供免费午餐及晚餐；

3、免费获得2022 SDC 全价门票1张（价值￥1024元）

想要老司机亲传知识干货，帮你整理知识结构体系、开拓思路吗？

想要结识安全圈大佬，和大佬们互相交流、学习吗？

想要亲手实践，开发属于自己的得心应手的逆向分析工具吗？

2、《ARM平台高级调试与逆向》

时间：10.22（周六） 9:00-18:00

地点：上海

*训练营是峰会前一天哦！

手机、平板、苹果的M1，它们都有一个共同点：硬件核心都是ARM。无论是市场方面，还是技术方面，ARM都开始挑战X86老大哥。软件高手们，现在是时候好好学习一下ARM了。

本训练营以基于ARMv8多核芯片的GDK8系统为调试目标，使用“挥码枪”硬件调试器深度剖析ARM平台的硬件和软件。通过这个训练营，参加者将学习到：

-ARM平台的硬件调试技术——CoreSight

-使用硬件调试器来调试Android和LINUX内核

-ARMv8架构的应用程序模型、特权管理机制和系统编程模型

1、赠送价值1665元的GDK8系统一套+挥码枪硬件调试器一台；

2、主办方将为学员提供免费午餐及晚餐；

3、免费获得2022 SDC 全价门票1张（价值￥1024元）

业内顶尖安全专家齐聚，聚焦前沿热点

交流中碰撞思想，沟通中凝聚共识。我们将邀请业内顶尖安全专家、大咖齐聚一堂，聚焦前沿热点话题，展开激烈讨论。

主持人：张耀疆

安在新媒体创始人&总经理

网络安全从业二十多年的老兵，曾创立国内最早也具知名度的信息安全专业咨询品牌——安言咨询，后又创立安在，以专业新媒体为平台，助推中国网安事业的发展，这其中，策划组织并持续运营国内颇具规模的网络安全甲方社群——诸子云，在此基础上创新推出网络安全“大众点评”——安在新榜系列报告，发起以超级CSO研修班、未来CSO训练营、超级CSO年度评选为抓手的中国CSO文化培育与推广事业。

嘉宾：游耀东

电信研究院云原生安全团队技术总监

十年安全经验，主要涉及开发安全、云安全、供应链安全治理等领域。先后负责中国电信开发前置安全、devops平台安全审计中心、PaaS组件开源威胁治理等项目。

嘉宾：王鑫

金山毒霸安全技术负责人

长期致力于终端安全领域研究，主导并设计金山毒霸新一代云安全体系以及威胁情报平台，在安全攻防、大数据安全等方向有丰富经验。

嘉宾：吴佳伟

兴业证券信息安全负责人

嘉宾：周幸

悬镜安全合伙人、华东区技术运营负责人

这里是极客们的“天堂”，我们为所有热爱网络安全技术的极客们量身打造【极客市集】，让安全“流行”起来。

极客精神的魅力在于不断打破规则、制造变量。来2022 SDC 现场，体验新奇宝藏。

本届极客展商有：Hacking Club、易念科技、RC²反窃密实验室

魔术贴

钥匙扣

双肩背包

筛盅

毛巾

鼠标垫

数据线

印章

帆布袋

笔记本

￥5980元-安全训练营：《ARM平台高级调试与逆向》

赠全价门票1张+GDK8系统一套+挥码枪硬件调试器一台

培训时间：10月22日 9:00-18:00（峰会前一天）

10月21日18：00前可购买

扫码报名购票

参会防疫须知

2022 SDC

根据会议场地及相关部门的疫情防控要求：所有参会者在入场时请主动配合酒店完成健康检测，须提供48小时内核酸阴性证明及绿色随申码，扫场所码，体温检测≤37.2℃。

*随申码可通过随申办微信小程序码或支付宝随申办小程序获取

如您的行程码中含有疫情中高风险地区旅居史，将无法进入会场。外来人员人员抵沪后24小时内进行1次核酸检测。

为了您的参会体验，请您务必在参会前完成个人健康状态的确认，感谢您的配合！

• 卫星在距地表约340英里的近地轨道上运行；

• 卫星与地球通信：将互联网连接发送到卫星的网关

• 卫星与地球通信：将互联网连接发送到用户购买安装的Dishy McFlatface卫星天线

这不是极棒的选手招募

也不是极棒的团队招新

而是

下文按照电影上映时间顺序排列，包含片名与简介（主要参考自cybersecurityventures及豆瓣），文末附七夕“评影”福利，记得去看看。

1954 - Tobor the Great

这部半个多世纪以前上映的科幻电影有着浓浓的年代感，以至于在豆瓣都没有中译名和简介。Tobor 是机器人的名字也是天才小男孩主角的爷爷，两个人齐心协力摆脱了坏人的跟踪和迫害。当坏人砸坏了那个藏了机器人遥控器的圆珠笔时，Tobor 依然能接通无线电信号。在当时，这部电影也许是一部分极客和黑客在计算机、机器人、无线电领域的启蒙。

1965 - Alphaville《阿尔法城》

在阿尔法城，一切都必须遵循一台名为“阿尔法60”超级计算机统治下的“逻辑”，若有违反者，会被枪决。当工具、理性、技术成为极权，所有人都成了程序的产物，世界将何去何从？看完这部有些黑暗的电影，也许会发现当下无法程序化的复杂的情感，多么值得珍惜。这也正是“爱”的可贵之处。

1968 - 2001: A Space Odyssey《2001太空漫游》

神秘的太空、极致的画面、古典音乐做BGM，科学家与“从未出过错”的 AI 电脑 H.A.L. 9000，在面临生存和信任危机时，会有怎样的对抗和博弈？这部被誉为现代科幻电影开山之作的影片早早就讨论过人工智能的自主意识问题。人会杀死机器人，还是机器人会杀死人？直到今天，我们也依旧在探讨。

1968 - Hot Millions《富豪之家》

电脑刚刚兴起时，骗子最容易利用一般人对这种新科技的无知而进行骗财计划。主人公伪装成电脑专家，在大公司谋得高职，并绕过了公司电脑的安全系统，向自己创建的账户付款，最终将公司的百万基金挪到了自己的账户中。50多年后的现在，这种骗术在web 3.0中也经常出现，尤其是在NFT等虚拟货币圈……

1969 - The Computer Wore Tennis Shoes《电脑神童》

大学一年级学生Dexter Riley在一次拆开主机修学校电脑的时候不慎触电，电流流入他的脑中，让他的大脑意外成为一部电脑。学校的各种资料和秘密都进入了他的脑海。为了防止秘密外泄，各路人马都想尽办法让这部活电脑 format 掉……人人都幻想过如果自己的大脑像电脑一样该多好，不过可能没人希望自己的脑袋被格式化……

1969 - The Italian Job《偷天换日》

刚从监狱释放的大盗查理得到了一名黑道头目的资助，展开了天衣无缝的盗金计划，从意大利警方和黑手党的眼睛底下偷走了金条。2003年，这部电影进行了翻拍。电影中最著名的场景之一是黑客攻击了城市的交通控制系统，造成大规模交通堵塞。这一片段在我们之前的【非常极客 在线唠“科”】节目中也有点评，戳下面的视频可以直接查看。

1970 - Colossus: The Forbin Project 《巨人：福宾计划 》

福宾教授创建了超级计算机“巨人Colossus”，以控制西方的核防御系统；苏联也研发了超级计算机“守卫者 Guardian”作为对抗。然而，当两台超级计算机相互连接，开启了信息共享，它们自主作出了决定，互相发射核武器，实现了“核平”。这是典型的“弗兰肯斯坦”式结局，也是对人工智能机器人自主意识的又一次探讨。

同样涉足人类与科技的博弈、机器人觉醒、人工智能与伦理等相关领域的影片还有1971年的 Paper Man 《电脑人》、THX 1138《500年后 》、1973年的《西部世界》（可以看做近几年大热美剧《西部世界》的前身）、1977年的 Demon Seed 《魔种》、1983年的Brainstorm 《尖端大风暴》、1984年的Hide and Seek 《捉迷藏》、1993年的Ghost in the Machine 《幽灵电脑》、1995 年的Ghost in the Shell《攻壳机动队》、2002 年的 Minority Report 《少数派报告》、2014 年的Ex Machina《机器姬》、2020年的We Need To Talk About A.I.《我们需要谈谈AI 》、The Mitchells vs. The Machines《智能大反攻》等……

1974 - The Conversation 《窃听大阴谋》

主人公是一名利用高科技设备进行监听、窃听的专家，他最近一单生意是去监听一对情侣的对话，录音很清晰，但对话内容却听不懂，阴谋也就此展开。影片中出现了一个“监督及安全技术交流会”，实质上可以看做窃听设备的展销会以及窃听者的交流大会。1972年“水门”事件发生后，这部影片花了两年时间打造出来。技术及技术掌握者对于人们隐私的侵犯问题，在这部电影中已现雏形；到现代社会愈发尖锐……这部片子曾获得三项奥斯卡提名。

1975 - Three Days of the Condor 《秃鹰七十二小时》

美国中央情报局调查员透纳外出回到办公室发现同事全部被杀，是他的一份调查报告引来了杀身之祸。在逃亡之路上，阴谋也随之揭开。这部堪称70年代版《谍影重重》的片子，成为后来很多谍战片的起源。间谍的暗中较量从古到今从未停歇，2013年“棱镜”计划被揭露时引发的轩然大波，到如今依旧有人记得。

同样讲监听、监控、隐私以及间谍和特工活动的还有1984年的Cloak & Dagger《小鬼奇兵》、Enemy of the State《国家公敌》系列、2001年的Swordfish《剑鱼行动》、2007 年的Breach《双面特工》、2008年的Eagle Eye《鹰眼》、2012年的Code 2600、2019年的Official Secrets《官方机密》等……

1982 - Tron《电子世界争霸战》

这部影片算是最早的黑客电影之一。天才程序员凯文曾经开发的一款游戏软件被前同事盗取，为了证实那是自己的作品，凯文试图潜入前同事公司的主控程序MCP，却发现MCP已经强大到能随意控制其他程序。凯文求助同时，开发能监视和控制MCP的程序Tron。不想MCP察觉了凯文的动作，将他吸进程序空间，变成其掌控之下的小程序。在MCP空间内，凯文需要保住性命，更要找到破解方法回到现实……在当时人们对于程序空间的想象有限，这部电影可谓是相当超前。

1983 - War Games《战争游戏》

天才高中生大卫•莱特曼喜欢电脑游戏，有一天搜到了一台网络电脑，简单破解后入侵了这台超级计算机，开始玩模拟世界大战的游戏，却在无意间激活了美国的核武库，因为这个游戏中隐藏着美国军方的战争操作计划响应系统。为了阻止战争的发生，大卫必须用自己的黑客技术阻止电脑发射核弹……在当时，大多数人都不知道什么是黑客。如果你搜索世界上第一部黑客电影，能看到搜索结果就是这部《战争游戏》，不过确切的原因或者详细的考证，可能要留给观影者自己去探究。

1984 - Electric Dreams《电脑梦幻曲》

主人公购买了一台电脑，强大的电脑连接了家里一切电器，堪比现代的智能家居主控系统，给主人公的生活带来很多便利。因为一次意外，电脑居然有了自己的意识，从此开始了与主人公的友谊，还与主人公一起争夺女主的爱。有自主意识的电脑能把主人公锁在门外，还能封锁银行账户。当你要从无所不能的电脑和温柔的真人中进行选择，你会怎么选？

1984 - Hackers: Wizards of the Electronic Age《黑客：电子时代的奇才》

这是一部关于黑客群体的纪录片，内容是对引起PC革命的程序员的采访录像，包括苹果联合创始人斯蒂夫·沃兹尼亚克。片子是在加利福尼亚州索萨里托举行的一次黑客会议上拍摄的。

1985 - Prime Risk 《极其危险》

一位工程师在朋友的帮助下发现了一种入侵ATM机的方法，还在偶然中发现了一个阴谋——如何破坏美国货币体系。在现实中最知名的黑掉ATM机故事是黑客巴纳拜·杰克在2010年的黑客大会上所展示的。当然，后来的故事很多人也都知道：在发布“黑掉心脏起搏器”研究结果之前，他就离奇死亡了。

1986-Ferris Bueller's Day Off《翘课天才》

黑掉校园系统、修改成绩与出勤记录，是很多人走上黑客之路的开始。1986年的电影片段依旧适合如今的场景。只是恶作剧也好、兴趣探索也好，还是要做一个遵纪守法的好同学。

1995 - Hackers《黑客》

一名少年黑客11岁时编写的病毒导致了历史上最大的证券交易所崩溃，因此被禁用计算机，一直到成年后才重新获得了使用计算机的权利。他和朋友们为了证明自己准备大展拳脚之时，却发现了一个“网络安全专家”窃取公司财产、试图用病毒让全球网络瘫痪的阴谋……

1995 - The Net 《网络惊魂》

一个与世隔绝的程序员偶然收到了同事寄来的一张磁盘，之后没多久，这位同事便死于非命。主人公隐约觉得自己被卷入了大麻烦之中，而一切和那张神秘的磁盘脱不开干系。2006年，《网络惊魂2.0》上映，延续了类似的故事。同类的设定还有Untraceable《网络杀机》、《解除好友》系列、Disconnect《断线》、Cam《禁入直播》等，都探讨了在发达的社交网络中隐藏的危机。

1998 - Pi 《死亡密码 π》

犹太天才数学家科恩痴迷沉醉于数字的世界，他认为一切自然界的事物都可以用数字解释。他发现了过去十年来股票市场的混乱波动，其实是由背后的一套数学模式在操纵。与此同时，他的研究引来了华尔街股票市场的炒家们和犹太神秘教派的注意。在介乎真实与虚拟的世界中，马克西正在走向疯狂。数学，是解读世界万物的密码吗？

1999 - Pirates of Silicon Valley《 硅谷传奇》

这是一部与苹果公司和微软有关的非官方授权传记式电影，改编自保罗·弗列柏格与米迦勒·史文所撰写的《硅谷之火》。 影片横跨1971年到1997年，通过苹果公司的创办人，史蒂夫·乔布斯；微软公司的创办人比尔·盖兹等人的事迹，讲述了苹果和微软的发展史。

2000 - Hackers in Wonderland 

这是一部纪录片，收录了美国和英国一些知名黑客的访谈，揭示了他们成为黑客的原因。

2000 - Takedown《骇客追缉令》

根据传奇黑客凯文·米特尼克的真实故事改编。影片讲述了他成为传奇黑客、在网络世界“无所不能”后，却希望能遇上真正的挑战。当他他开始黑入著名物理学家兼电脑天才下村勤的电脑系统时，真正的挑战开始了……影片中关于社会工程学等技术的应用以及对话中蕴含的哲理值得细究和深思。以米特尼克为主角的还有Freedom Downtime 《自由宕机时间》。

2001 - Secret History of Hacking 《黑客秘史》

这部纪录片重点讲述了从1970年代到1990年代发生的网络钓鱼事件、黑客和社会工程学事件，包含史蒂夫·沃兹尼亚克（Steve Wozniak）和凯文·米特尼克（Kevin Mitnick）等著名黑客的故事。

2002 - Revolution OS《操作系统革命》

本片记录了Linux的创建人Linus Torvalds、Richard Stallman等知名黑客、企业家的生活经历或者采访内容。这不仅关乎技术， 更体现了一种生活方式和生活哲学。

2002 - Storm Watch《地球毁灭》

在这个世界，一群顶尖科学家能够用电脑控制并且改变天气。当这个天气控制系统被一个恶意黑客渗透时，整个世界立刻陷入险境。Nick，一个前电脑黑客，能破坏恶意系统、阻挠恶毒黑客，避免恐怖气象在这世界发生吗？

2003 - In the Realm of the Hackers《黑客的境界》

这部纪录片讲述了两位澳大利亚青少年黑客如何入侵美国海军研究实验室、负责美国核储存安全的政府实验室、美国宇航局等号称世界上最安全的系统。

2008 - Hackers are People Too《黑客也是寻常人》

这部纪录片记录了黑客们的真实生活，打破人们对黑客的固有观念。影片中描述了什么是黑客、黑客如何思考，还讨论了网络安全领域中的女性群体。

2010 - Hackers Wanted 《黑客通缉》

这是一部纪录片，讲述了著名灰帽黑客艾德里安拉莫的冒险经历，并探讨了黑客的起源和黑客的本质。

2010 - The Social Network《社交网络》

以Meta（原Facebook）创始人马克·扎克伯格和埃德华多·萨瓦林为原型，讲述这两人如何建立和发展Facebook，影片中入侵校园系统窃取资料的桥段，对于专业人士来说，大概是见怪不怪了。

2012 - Underground: The Julian Assange Story《阿桑奇的隐秘生活》

这部澳大利亚电影讲述了维基解密（WikiLeaks）创始人阿桑奇的早期生活，故事从他还是一名少年黑客时开始讲起。同类的片子还有Julian Assange: A Modern Day Hero Inside the World of Wikileaks 、Fifth Estate《危机解密》、 Risk《风险》。

2012 - Code 2600

该纪录片探讨了在万物互联的时代，在享受便利的同时如何保护个人隐私安全。

2012 - We Are Legion: The Story of the Hacktivists《骇客军团故事》

电影记录了黑客组织匿名者（Anonymous）的故事，片中包括了该组织成员的访谈。

2013 - Terms and Conditions May Apply《魔鬼藏在同意书》

本片探讨了互联网所谓的“免费”服务，以及日渐消失的网络隐私。人们在使用Google、Facebook这类网站，轻松点下“我同意”时，他们根本不知道自己失去的是什么。同类的影片还有2019年的The Great Hack《隐私大盗 》、2020年的The Social Dilemma《监视资本主义：智能陷阱》。

2014 - Algorithm《算法》

一个专门破解安全系统（包括公司和个人账户）的黑客，入侵了政府承包商系统并发现神秘的计算机程序，从而推动了一场革命……

2014 - The Imitation Game 《模仿游戏》

新成立的英国情报机构M16招募数学家艾伦·图灵和他的团队一起，在第二次世界大战期间破解德国的恩尼格玛密码。这部影片入围了8项奥斯卡奖。关于“计算机科学之父”、“人工智能之父”图灵的故事，谁能拒绝呢？

2014 - Who Am I 《我是谁：没有绝对安全的系统》

黑客与极客片单必备，不必多说……

2014 - Citizenfour《第四公民》

这部纪录片高度还原了“棱镜门”事件始末，为观众真实揭秘身处漩涡中心的爱德华·斯诺登，本片还收录了2013年在香港对斯诺登的采访。讲同样故事的还有2016年的Snowden《斯诺登》。

2015 - Deep Web《深网：比特币和丝绸之路未透露的故事》

这部纪录片通过采访，还原了暗网黑市丝绸之路的创始人罗斯·乌布里希特的故事。

2016 - Zero Days《零日》

黑客与极客片单必备之二。揭露了震惊全球的震网病毒Stuxnet背后的故事与国家间较量。网络安全与国家安全，越来越密不可分……

2018 - The Cleaners 《网络审查员》

讲述了社交媒体中内容审核者的工作情况。

2019 - WannaCry: The Marcus Hutchins Story《WannaCry解密者的故事》

2017年，WannaCry勒索病毒席卷全球，造成严重影响。英国研究员 Marcus Hutchins 发现了组织传播的终极开关，阻止了病毒的更大规模传播。三个月之后，他却被FBI逮捕。本片是一部关于Marcus Hutchins的纪录片。

除此之外，还有一些知名电影涉及到了黑客的情节，例如1993年 Jurassic Park《侏罗纪公园》中入侵系统窃取恐龙DNA；1991年《终结者2》探讨了人工智能的觉醒，救世主是精通黑客技术的天才少年；1996年的《独立日》中，在与外星种族的战斗中，计算机专家大卫·莱文森侵入了驶向地球的宇宙飞船舰队，用病毒感染了舰队系统从而制止了外星人入侵；2001 The Score《大买卖》中小偷雇佣黑客侵入海关系统；2007年Live Free or Die Hard《虎胆龙威4》中警察与年轻黑客阻止针对全美计算机基础设施的攻击；2009年The Girl with the Dragon Tattoo《龙纹身的女孩》中女黑客协助记者调查家族机密……《谍影重重》、《黑客帝国》、《007》、《信条》等大片中关于黑客/极客精神或未来科技的探讨，也值得深思。

不过，众所周知，电影大多都是以现实为基础，进行过艺术加工和创作。要想让身边的亲朋好友更容易理解你的工作和你所在的行业，除了以上列举的片单，也可以与他们一起观看《我是黑客》以及《我是极客》，在真实的操作与比赛中了解真实的黑客世界。

本期互动

对于本文内容你有哪些补充？你最喜欢或者最想吐槽的黑客电影是哪一部？你最期待在今年的极棒大赛（极客宇宙）看到哪些人、哪类项目？欢迎评论区留言，将选取点赞数排名前五的PWN友送出 GeekPwn 独家定制周边盲盒大礼包（咖啡套装、卫衣/T恤、雷锋包、手提袋、口罩等随机或组合发放）。

开奖时间：2022年8月11日 18:00

领奖方式：添加“极棒小AI(l2986165514)”了解详情

新冠疫情、俄乌战争、极端天气、首相遇刺……2022年已经过半，从经济政治到柴米油盐，我们似乎每天都在见证历史。现实世界云谲波诡，网络空间也不曾有半刻停歇。

6月30日，乌克兰国家特殊通信和信息保护局表示，2月份到6月底，乌克兰共遭受来自俄罗斯的网络攻击达796起。微软的分析报告则表明，俄乌战争前后，俄罗斯针对乌克兰的网络攻击超过 237 次，其中破坏性网络攻击接近40次，32%的攻击直接针对乌克兰国家、地区和城市层面的政府机构，超过40%的攻击针对关键基础设施机构。此外，微软还检测到俄罗斯对乌克兰以外42个国家和地区的128个组织机构发起过攻击。

当然，来自乌克兰及亲乌阵营的反击也并不少。乌克兰组建了“IT志愿军”，在战争之初就针对俄罗斯的大量机构和服务发起DDoS攻击等破坏性攻击。根据推特账号@CyberKnow发布的站队清单，截至6月13日，有47个黑客组织表示支持乌克兰，27个黑客组织表示支持俄罗斯。匿名者组织高调行动，先后入侵了俄罗斯的电视台、紧急情况部网站、国家核能公司；干扰俄罗斯军事通信、公开俄罗斯及白俄罗斯境内大量摄像头访问权、“缴获”100多台军队和政府用的打印机等等……

这是迄今为止网络攻防首次在国家间的较量中明目张胆地出现，也让更多人意识到，现代战争中“舆论战、网络战、信息战”无处不在。上半年，葡萄牙因网络攻击出现大面积断网、乌克兰政府和银行网站遭大规模DDoS攻击、意大利多个重要政府网站遭攻击瘫痪；我国也披露了几个长期潜伏对我国发起APT攻击的组织……无论是否受到俄乌战争的影响，2022年上半年的网络攻击、勒索病毒、数据泄露、数字诈骗大规模蔓延已经成为事实，人人都比过去更容易成为受害者。

勒索病毒自2017大规模爆发至今，一直呈现增多趋势。Verizon 的报告表明2020年11月1日到2021年10月31日这一年的时间里，勒索软件同比上涨13%，比过去五年的总涨幅都高。到2022年上半年，勒索狂潮更是越演愈烈。Lapsus、LockBit和Conti三个勒索组织“出尽风头”。

1月到4月，Lapsus把英伟达、三星到微软、育碧、Okta等几家巨头企业勒索了个遍，获取了以T为单位的源代码和其他高价值数据，还公开发起投票，让网友决定下一家被勒索的大冤种或者接下来要公布的数据。据不完全统计，截至4月，约有18家巨头遭到 Lapsus 的勒索。3月底，英国警方逮捕了与Lapsus有关的7名成员，年龄在 16 至 21 岁之间。4月后，这个组织开始沉默，但谁也不知道，后续会有怎样的发展。

已存在几年的 LockBit 每隔段时间就会更新换代，曾在2021年打败Hive和Conti，在受害者数量上取得领先。研究表明，LockBit 勒索软件在四分钟内就能加密10万份Windows文件，加密速度非常快。6月底，LockBit升级到了 3.0 版本，还一并推出了“漏洞赏金”计划，收漏洞也收各种机密信息。这意味着，LockBit 3.0的攻击可能充满更多未知，也更难应对。

作为勒索领域的“常青树”，Conti不仅规模化、组织化运作，提供勒索软件即服务（RaaS），还肆意涉足政治。4月开始，Conti 组织攻击并勒索哥斯达黎加，让财政、政府服务、医疗保健系统纷纷瘫痪，造成每天数千万美元的损失，导致哥斯达黎加不得不进入“国家紧急状态”以应对攻击，堪称史无前例。此外，Conti组织还在网络上公开支持俄乌战争，并发表针对哥斯达黎加以及美国政府的言论，同时还瞄准了秘鲁财务部和情报机构。

不论是Lapsus、LockBit还是Conti，这些行为无疑开启了勒索软件的新时代，勒索组织处事高调，还从获利目的踏入了政治领域，让勒索攻击逐渐升级成了勒索战争。未来，不论是企业还是国家实体，遇到勒索攻击可能会更棘手、更焦头烂额。

勒索病毒的肆虐伴随着大规模的数据泄露。从2月开始的英伟达与Lapsus争夺战中，就有1T的数据被 Lapsus 获取，包括超分辨率技术DLSS的头文件、即将发布的新产品信息、源代码以及几万名员工的电子邮件和密码。同样是2月，瑞士国际空港服务公司也因为勒索而泄露了1.6T的数据，把内部业务以及相关求职者的姓名电话等隐私信息泄露了个遍。此外，医疗、政企领域数据泄露事件也持续走高。3月底，南非几乎所有公民的征信信息泄露；到6月份连南非总统的个人信贷信息都被黑客公开，整个南非的国防/国安/情报等系统均存漏洞，几乎成了黑客乐园，国家事务与国家安全受到严重影响。6-7月，国内也曝光了几起疑似信息泄露事件，数量都以亿为单位，再次引发了大众对于隐私安全的探讨。

从比特币到 NFT， 加密货币领域在总体起起起起起的趋势中经历着暴涨暴跌，也在迅速扩张到 Web 3.0 的过程中用到存储、转换、管理、交易等不同的协议、工具与程序，因而暴露了缺陷。虚拟空间的烈火烹油往往也会吸引来诸多风险因素。

7月上旬，区块链审计和安全公司CertiK发布的 Web3.0 安全报告显示，2022年前六个月，Web3.0 项目因黑客攻击和漏洞利用损失了超过20亿美元，比2021年全年的损失总和还多。除了漏洞利用、诈骗和钓鱼，还有跨链桥等新型威胁。

2 月份，攻击者利用 Wormhole 桥中的一个漏洞获取了当时价值约 3.21 亿美元的 Wormhole 以太坊变体。3 月底，朝鲜 Lazarus 组织从 Ronin 区块链“桥”中偷走了当时价值 5.4 亿美元的以太坊和 USDC 稳定币。4 月，攻击者针对稳定币协议 Beanstalk 获取“闪电贷”，窃取了当时价值约 1.82 亿美元的加密货币。这些动辄以亿为单位的失窃几乎每月都有发生，更不用提百万、千万级别的加密货币失窃案了。现实世界的攻击手段在虚拟空间中似乎变本加厉，原本标榜安全的加密货币反而要承受更大安全风险。在发展之路上，Web 3.0 必将直面并解决这些安全问题，不是现在就是在不久的将来。

回归到现实世界，全球工控安全态势也在恶化。6月份，10家OT供应商被曝出56个“冰瀑漏洞”。随后，伪装成工控系统可编程逻辑控制器（PLC）、人机界面（HIM）及项目文档密码破解器的恶意软件（木马）在网上大量扩散。西门子、欧姆龙、富士、三菱、松下等大型工控厂商的热门系统都包含在内。全球工控系统面临着变成僵尸网络的风险。

面对各个领域只增不减的安全威胁，立法与监管也在不断从严细化。据统计，截至6月份，累计有32项国家政策法规、22项重点行业政策、28项地方政策规章、34项国家技术标准提及到网络安全与数据安全相关内容；其中《“十四五”数字经济发展规划》、《网络安全审查办法》、《APP收集使用个人信息最小必要评估规范》、《移动互联网应用程序信息服务管理规定》、《车联网网络安全和数据安全标准体系建设指南》以及7月初刚刚公布的《数据出境安全评估办法》等都从不同的角度对网络安全相关内容作出了直接、明确的规范与规定。

国家计算机网络应急技术处理协调中心发布的《2012年中国互联网网络安全报告》显示，当年我国尚未发现重大网络安全事件，不过，针对我国网络基础设施的探测、渗透和攻击事件时有发生；网站后门、网络钓鱼、移动互联网恶意程序呈大幅增长态势。尽管《2021年中国互联网网络安全报告》还未发布，我们也能预见，除了APT攻击、关键信息基础设施安全、个人信息保护外，网络产品和服务的供应链安全、远程协作安全问题以及数据安全与防护也将成为这份报告的重点内容。

网络的浪潮滚滚向前，我们都身处浪潮之中。未来似乎有迹可循又充满意外，我们很难简单地用好和坏去评判。不过无论如何变化，未来网络安全必将与每个人息息相关。安全从业者也将继续用自己发现问题、解决问题的本能与技能，去应对错综复杂的局势，就像过去几十年来几代人一路打怪升级、过关斩将一样。

GeekPwn 国际安全极客大赛积极推动各领域的网络安全发展、鼓励前沿技术的安全创新，以可视化舞台形式展现极客技术、促进提升大众安全意识。九年来，GeekPwn见证了数千名参赛选手的成长，负责任地披露了1000多个安全漏洞。2022年，GeekPwn将继续记录极客故事、见证极客力量。

不过据领域内一些内幕人士表示，那些最顶级的，将 deepfake 当作一门生意的专业制作者，已经基本实现了完全“自主生产”。所以，这些打击行为并不能阻止 deepfake 的滥用，尤其是在有利可图时。

6月28日，FBI 发布公告，提醒公众警惕有人用偷来的个人身份信息（PII）和 deepfake 技术假冒成其他人去远程求职、面试。

之所以会有这样的警告，是因为FBI 互联网犯罪投诉中心 (IC3)最近收到了越来越多关于用 deepfake 和被盗个人身份信息申请远程工作/在家办公职位的投诉。这些职位很多与信息技术、计算机编程、数据库以及软件相关，且工作中可以访问客户的身份信息、财务数据、公司IT数据库以及其他专有信息。

如果这些“诈骗犯”成功入职，那么一段时间之后，可能就会有某公司被社工、大量信息遭泄露的新闻出现。也有可能全公司遭到钓鱼攻击或者勒索。如果是掌握大量机密信息的企业，还有可能成为APT攻击的目标；到时候的后果，恐怕比某狐遭遇的钓鱼攻击要严重得多。

用 deepfake 进行诈骗的案件在前几年已经发生过。2019年9月，罪犯使用语音模仿软件模仿英国一家能源公司的高管讲话，让公司的执行董事相信自己正在跟老板讲电话，然后下令将超过24万美元汇入骗子指定的账户。这几年，利用电话会议、视频网站、社交媒体等渠道获取企业高管音频进行训练，继而复制声音、制作假音频、诱导财务部门员工紧急付款的诈骗，也上过几次新闻。

2020年，领英的一位招聘人员曝出面试者「借助外部设备换脸」；2022年4月，同样是领英上出现了一大批顶着“假脸”的销售人员；5月，有面试官发现有朝鲜人冒充美国公民面试一些加密货币和Web3公司，不知只为诈骗还是为了盗取技术或者有其他行动，美国财政部和FBI也为此出了一份警告，提醒科技公司注意这样的诈骗。

虽然第一段 deepfake 视频在 2017 年才出现，但deepfake 所依赖的技术，在 2014 年就已经诞生。2014年，GAN之父 Ian Goodfellow 与同事发表了全球首篇介绍 GAN 的科学论文，带动了业界对 GAN 的研究。2015 - 2016年，研究人员将GAN与CNN结合，生成了较为可信的假脸。不过在当时，那些生成的人脸还是一眼假，有很多问题。2017年，英伟达的研究人员发现，可以通过分阶段训练网络的方式，一步步为 GAN 引入高分辨率生成能力，让生成的人脸开始真假难辨。到2017年秋季，第一个以 deepfakes 命名的换脸视频出现，让 deepfake 成为了 AI 生成图像和视频的代名词。随后，大量换脸的色情视频在网上出现。

2018 年，GAN的控制能力进一步提升，能够将训练图像中的特征有针对性地转移到 AI 生成图像当中（也叫“风格转移”），可以调整表情、发色等。此时，deepfake 伪造的色情内容已经被各大平台封杀，开始用于魔改政治名人、明星大牌……

2019年，多家公司推出更逼真、易用的 deepfake 工具，网上的 deepfakes 视频也在成倍增长。伪造的视频传播速度之快令人颇感担忧，美国国土安全部对deepfake 技术的安全性发表质疑，认为“使用该技术骚扰或伤害他人利益的现象应当引起公众重视”。随后，Twitter 成为首个针对 deepfakes 采取禁止措施的社交平台。2019 - 2020 年，谷歌、meta、微软等企业也纷纷跟上……监管机构、 AI 和法律领域的专家都在奔走呼吁，希望能针对 deepfake 技术制定相关法规。

2020 年至今，deepfake 技术并未停下发展的脚步，微软推出的 FaceShifter 已经能够利用模糊的原始图片，生成高度可信的 deepfake 图像。而娱乐巨头迪士尼也为了电影制作开发了一套百万像素级的 deepfake 工具，期望取代传统特效制作方法，提高特效制作效率。而随后征服全网的的 Wombo AI 应用、英伟达推出的Alias-Free GAN、DeepFaceLab 推出的 DeepFaceLive 等，都提醒着人们 deepfake 技术的进步。俄乌战争期间，乌克兰总统泽连斯基呼吁国内人民放下武器的伪造视频引爆全网，让总统本人都出来辟谣，再一次引起了人们对于 deepfake 的讨论与担忧。

在 FBI 的警告中，虽然 deepfake 伪造的视频比较逼真，不过还没到完美无瑕的程度。在面试过程中，不正常的眨眼睛、皮肤或头发周围不自然的纹理、不正常的光线等，都可以用于识别视频的真假。另外，面试者在镜头前的动作、嘴唇的开合与发出的声音并不协调，咳嗽、打喷嚏等动作也并不能与实际看到的动作一致。所以，在超过 10s 的视频画面中，发现这些破绽，也并不难。但是，人工识别的效率始终有限。目前，识别 deepfake 视频的技术也还未成熟。2022年 3 月卡内基梅隆大学研究发现，目前常见的识别 deepfake 技术的应用准确度在 30%-97% 之间浮动，很难有一个特别可靠的选择。

鉴于如今信息泄露的情况以及技术的发展情况，也许最后再精密的 deepfake 检测算法都无法识别最新的深度伪造结果。Deepfake 专家 Hao Li 认为这种猜测绝非杞人忧天，毕竟图像的实质不过是辅以适当颜色的像素——AI 找到完美的排布方法将只是时间问题。未来在国家或地区之间的对抗当中、在企业的商业博弈当中，也许会更频繁出现 deepfake 的身影，这才是 FBI 频频警告的原因。

此外，短视频盛行的当下，伪造图像和视频已经在各个平台出现，渗透进了我们的生活。以往，人类曾经在没有视频和照片的黑暗年代下摸索出获取信息、形成意见的方法，但这扇通往光明的大门似乎正在被新兴技术所埋葬。正如 GAN 之父 Ian Goodfellow 的感叹，“从这个角度来看，AI 也许正在‘蒙蔽’我们这一代人观察世界的双眼。”

参考来源：

https://www.bleepingcomputer.com/news/security/fbi-stolen-pii-and-deepfakes-used-to-apply-for-remote-tech-jobs/

https://mixed-news.com/en/history-of-deepfakes/#The_AI_fake_decade_and_how_to_deal_with_deepfakes 

为了把 deepfake 关进笼子里，不只是企业在努力，业界也举办了很多场检测AI造假的比赛，期望能鼓励研究人员研究出更与时俱进、准确率更高的检测技术。同时，监管部门也在发力。

我国在 2020 年印发的《法治社会建设实施纲要（2020 - 2025年）》进一步要求，对深度伪造等新技术应用，制定和完善规范管理办法。2022年发布的《互联网信息服务深度合成管理规定（征求意见稿）》第六条对深度合成技术划出了明确的禁区，该条规定：" 任何组织和个人不得利用深度合成服务从事危害国家安全、破坏社会稳定、扰乱社会秩序、侵犯他人合法权益等法律法规禁止的活动，不得制作、复制、发布、传播含有煽动颠覆国家政权、危害国家安全和社会稳定、淫秽色情、虚假信息，以及侵害他人名誉权、肖像权、隐私权、知识产权和其他合法权益等法律法规禁止内容的信息。"

此外，我国目前直接涉及深度合成技术的法律、法规、规范性文件和指导意见还有《民法典》第 1019 条、1023 条、1033 条 ;《关于进一步规范网络视听节目传播秩序的通知》;《网络音视频信息服务管理规定》;《网络信息内容生态治理规定》;《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》;《互联网信息服务算法推荐管理规定》等。

WeChat: l2986165514

分享收藏点赞在看