Abstract—Large Language Models (LLMs) have been suggested for use in automated vulnerability repair, but benchmarks showing they can consistently identify security-related
bugs are lacking.

LLM技术浪潮下，“漏挖人”能否保住饭碗？

包管理平台是开发者获取、分享和管理代码依赖的平台，使得程序员不用重复造轮子，让开发更高效。随着开源生态的日益繁荣，包管理平台受到越来越多开发者的青睐，平台域名排名也随之攀升。然而，这种高流量和高关注度也吸引了不法推广者的目光，成为被滥用的目标。

【论文分享】基于包管理平台的黑帽搜索引擎优化

本文提出了一种通用的基于嵌套属性图的数据绑定漏洞挖掘方法，自研的DIVER工具在Spring框架、Grails框架中发现了多个数据绑定漏洞，包含著名的Spring4Shell、Grails Pre-Auth RCE等高危漏洞。

优秀论文推荐：一种通用的基于嵌套属性图的数据绑定漏洞挖掘方法

该工作提出了一种全新的软硬件协同的安全架构，来从根源上防护 DMA 攻击，可扩展到异构架构，保护GPU/XPU等异构算力安全。

DMAAUTH：针对DMA攻击的防护架构

本文介绍的这项研究，围绕Web 3.0中的首次“恶意收购”真实事件展开了探讨，也许能为读者带来一些思考。

为他人做嫁衣裳：Web 3.0中的投票治理及其安全

该工作已经被软件工程领域国际顶级会议FSE 2024接收。该研究是第一个关于故障词元的全面研究，并且研究中针对故障词元的检测方法为减少大模型中与分词（tokenizer）相关的错误提供了有意义的见解。

调皮的词元：大模型中‘故障词元’的检测和分类

K-LEAK工具是一种基于图的数据流分析框架，针对Linux内核中的内存漏洞（UAF/OOB），辅助生成infoleak的利用，绕过内核KASLR防护。本文将infoleak利用生成问题看作是数据流搜索问题，通过对内存错误引入的非预期数据流，以及现有内存错误如何转化为新的内存错误进行建模，K-LEAK能够系统性的搜索出多步infoleak数据流路径。

K-LEAK：Linux内核infoleak利用自动生成

今天分享的论文主题为DoH性能测量，由来自伊利诺伊大学厄巴纳-香槟分校和斯坦福大学的研究人员共同完成。该论文使用代理网络对DoH和Do53的性能进行了测量，比较了四家公共DoH提供商在各方面的表现。此外，作者还分析了DoH和Do53解析时间之间的地理差异及可能原因，总结了对DoH生态系统的潜在改进方案。该论文发表于国际网络测量领域顶级会议ACM IMC 2021。

【论文分享】对全球范围DNS-over-HTTPS的性能测量

五月的最后一期论文推荐，我们为大家介绍复旦大学和约翰霍普金斯大学的研究人员合作发表、关于人脸识别安全威胁的IEEE S&P 2023论文 Understanding the (In)Security of Cross-side Face Verification Systems in Mobile Apps

G.O.S.S.I.P 阅读推荐 2023-05-31 真假人脸

今天要给大家推荐的论文是来自清华大学软件学院Wingtecher Lab投稿的最新研究Bleem: Packet Sequence Oriented Fuzzing for Protocol Implementations，目前该工作已发表于USENIX Security 2023。

分类