4月12日下午14时整，我院于教学楼105教室举办了软件漏洞分析技术分享讲座。本次讲座的主讲人为Pwn2own2017冠军团队代表——360代码卫士实验室总监柳本金先生和微软全球安全贡献TOP100白帽子国鹏飞先生，我院老师及各年级学生积极参加了本次交流分享。

讲座开始后，国鹏飞先生先为我们介绍了关于漏洞分析的概念后，提出了一名合格程序员应具备三种基本能力：C\C++编程能力、掌握汇编语言以及操作系统构架和底层知识。为了培养这些能力，他推荐同学们阅读《深入理解计算机系统（第三版）》，希望同学们最好能够做到通读。紧接着国鹏飞先生分别介绍了七种常见漏洞——缓冲区溢出漏洞、整数溢出漏洞、未初始化漏洞、释放后使用漏洞、二次释放漏洞和类型混淆漏洞，对于这七种漏洞，他还举了一些较为经典的“栗子”，方便同学们理解。而常见漏洞挖掘方法有三种：代码审计、Fuzz测试和符号执行。 在介绍这三种方法的同时，国鹏飞先生还分别列举了这些方法的优缺点，以供大家参考。最后，他向同学们推荐了四种“升级”自己的攻略：其一是要学习网上的漏洞分析利用文章；其二是要研究漏洞公告和补丁；其三是要选定挖掘对象以及开源Fuzz工具；其四是要深入理解挖掘对象，自己开发有针对性的Fuzz工具；其五是要阅读源码或者反汇编代码，人工审计挖掘漏洞。

讲座的第二部分，柳本金先生利用虚拟机为同学们展示了如何发掘漏洞、完善程序。柳本金先生为了同学们能够更加深刻地了解所讲的内容，不遗余力地一步步分析重要代码的含义。讲座的尾声阶段，同学们积极地向两位主讲人提出了自己的问题，两位先生也十分耐心地分享了自己的想法。

作为世界级比赛的金奖得主，国鹏飞先生和柳本金先生幽默风趣的言语措词和谦和有礼的待人方式获得了在场每位同学的尊敬和景仰。他们甚至在后来的采访中表示，3秒攻破Adobe虽是事实，但3秒的背后是他们整个团队半年多的努力。最后，他们借此告诫各位同学，要谨记“一万小时定律”，任何聪明的头脑可能都不及千百次的练习，他们身上这种“甘坐冷板凳”的精神也值得每一个人学习。