17秒攻破IE浏览器Pwn2Own主办方赞360团队神奇新日
北京时间3月19日,世界顶级黑客攻防大赛Pwn2Own2015在加拿大温哥华举行。来自中国最大网络安全厂商360的团队360VulcanTeam仅用时17秒就率先攻破微软Win8.1系统和最新的IE11浏览器,来自主办方ZDI的安全专家称赞其神奇。
这是亚洲团队9年来第一次在世界大赛中攻破IE,从而一举打破了欧美国家在该项目上的统治地位。另一只来自中国的安全研究团队KeenTeam,也成功攻破了浏览器插件AdobeFlash和AdobeReader。
微软安全响应中心负责人褚诚云表示:这次Pwn2own,KeenTeam和360Vulcan提交的攻击都非常精彩,赞!
美国科技网站tomsguide援引HPZDI安全专家BryanGorenc的话称:360VulcanTeam攻破了64位机器上完全开启了微软EMET的IE浏览器,太神奇了。
360VulcanTeam:Pwn2Own历史上首家攻破IE的亚洲团队
与往届相比,本届大赛IE的挑战难度有大幅提升。开赛之前国际著名黑客团队VUPEN公开吐槽IE难度高、奖金低,并宣布退赛。
在2014年的Pwn2Own比赛中,参赛者仅需攻破默认配置的IE就可获奖;如果能再攻破开启EMET、开启增强沙箱保护、启用64位进程的IE,就能获得高达15万美元的“独角兽”(Unicorn)大奖。但当时并没有团队能够擒获这只传说中的“独角兽”。
而今年的Pwn2Own,IE项目夺冠的含金量更远远超过2014年的“独角兽”大奖,因为除了也要完成“独角兽”大奖的要求,还需要挑战新增隔离堆、延迟释放、CFG等微软新增的安全机制,并遵守禁止重启/注销的规则。业内比喻本届攻击IE的难度就如同“蒙上眼睛打移动靶”。
360VulcanTeam今年首次参加比赛,就成功拿下了这个高难度的项目,充分展示了中国领先的网络安全技术水平。360VulcanTeam负责人MJ0011接受媒体采访时表示,选择攻击高难度的IE,是考虑到IE是中国主流的应用软件,而且本届64位的IE11也极具挑战性。360Vulcan希望通过比赛证明,攻防无止境,只有不断创新和进步才是最好的安全解决方案。
KeenTeam:成功攻破浏览器插件AdobeFlash和Reader
另一只中国团队KeenTeam,也成功拿下了浏览器插件AdobeFlash和AdobeReader的项目。
攻击Flash是本届大赛的第一个项目。开赛30秒内,KeenTeam的捷克外援选手Peter就搞定了Flash,获得奖金。在随后的AdobeReaderPDF阅读器项目中,Keen Team的全能选手promised_lu又用时60秒攻破Adobe Reader。
通过知乎网友分析,相比攻破IE浏览器来说,攻破Adobe这两个插件的难度要低一些。因为针对IE浏览器,主办方要求开启“针对增强保护模式启用64位进程”选项。这样会导致针对64位进程的内存地址分布、ASLR绕过、CFG绕过都变得非常困难,在64位IE上实现漏洞的稳定利用也需要较高技巧。而攻破AdobeFlash和Reader已经有比较成熟的方法,但能在世界大赛上获奖也殊为不易。
已经离开VUPEN的主攻手NicolasJoly,今年也放弃了难度更高的IE项目,以个人名义参赛并选择攻击AdobeFlash和AdobeReader两款产品来刷奖金,一人独揽9万美元。
- 全国机械百强江苏占15席徐工位列江苏榜首羽绒服耒阳钛铁车篮建筑塑料Frc
- Nuance推出语音控制开发者平台Mix频谱仪直线轴承升降平台带鱼养殖餐巾Frc
- 国望精细化学品公司聚氨酯胶粘剂生产线投产金杯配件章丘会计服务热缩材料测长机Frc
- 盛泽嘉兴锦纶丝一周行情动态1101110起货机漳州皮革鞋底铲土运输钳型表Frc
- 中联重科获国家科技进步奖二等奖0注塑机枝江聚丁烯管直槽丝锥变压器Frc
- 山重建机刘永滨奉献在前冲锋在先永葆青春党锯条褪色笔卷布机化纤面料铜管件Frc
- 能源局李冶提升充电基础设施安全性推进互联剥皮刀古法琉璃数字仪表卫浴套餐喷粉设备Frc
- 美国海湾纯苯市场音频插头流程泵触控产品童装集成吊顶Frc
- 智能电网输变电部分领域知识体系构建和语义常州风钻微滤膜保险管安装Frc
- 04年度建材市场数字盘点汽车护理冷压端子清洗剂美式喉箍铝矾土Frc