专业IT科技资讯平台,关注科技、手机、电脑、智能硬件、电脑知识!
当前位置:主页 > 建站 > 技术分享 >

Pwn2Own总冠军现身补天白帽大会 首次传授夺冠秘籍

导读:

Pwn2Own总冠军现身补天白帽大会 首次传授夺冠秘籍

推荐 2017-04-01 16:

Pwn2Own总冠军现身补天白帽大会 首次传授夺冠秘籍

推荐 2017-04-01 16:06:21

回想学生时代,有一个噩梦肯定跑不了。苦苦背下了所有重点,可临上考场才发现,卷子换成了B卷,这时你该怎么办?默默准备好补考费,仰天长啸涕泪横流,这是学渣的做法,对于学霸来说,只需要左脑右脑一个慢动作切换。

最近频繁刷屏的Pwn2Own黑客考场,中、美、德三国考生同台,全球黑客抻着脖子观战。考试前一周,微软和FireFox两个科目考题生变,考前一天,苹果考题再生变,官方更新的补丁让不少参赛者准备的漏洞出师未捷身先死,彻底沦为打酱油之流。

但是,这些下马威根本难不倒学霸,360安全团队在漏洞临时被补的情况下,如同机器猫一样神奇地从口袋里掏出了备用钥匙,解锁了微软、苹果、Adobe、VMware的六大项目,稳稳地把Master of Pwn的奖杯捧回了中国。

3月30日,安全圈的机器猫——360核心安全事业部总经理、Vulcan团队负责人MJ现身补天白帽大会,分享了神奇口袋中的夺冠道具,并首次公开了赛前被补的三大浏览器漏洞。既共享考题答案,又共享解题思路,这应该就是传说中的“授人以鱼并且授人以渔”吧。

222.png

话不多说,看看这支冠军队伍到底分享了什么:

全世界最厉害的黑客都在研究浏览器漏洞,就问你怕不怕?

浏览器漏洞是非常有价值、有影响的攻击面,全球最厉害的黑客都在研究浏览器漏洞,白帽子不得不争分夺秒地赶在黑帽子之前发现未知威胁,以防漏洞被黑帽子恶意利用。微软、谷歌等厂商更是不吝赏金,鼓励安全研究者为自家产品寻找漏洞。

2016年,360向微软、谷歌、苹果等各厂商提交漏洞共408枚,这一破纪录的成绩在全球安全厂商中排名首位,协助厂商让全球的智能设备变得更加安全。

 挖掘浏览器漏洞,你可以试试自动化FUZZ+人工化代码审计!

过去,通过自动化FUZZ的方式能轻松挖掘几百个浏览器漏洞,但现在,除非有更好的FUZZ工具和思路,否则产出高质量漏洞的难度越来越高;再说代码审计,如今各个浏览器引擎都开放了源代码,如果能在细读代码的过程中发现别人没有关注的新功能,就能发现别人发现不了的新漏洞,但纯粹通过代码审计对研究员的精力要求是非常大的,先FUZZ出大块问题,再利用代码审计读取细节,这种组合不失为一种挖洞的好方法。

绕过沙盒才是突破浏览器的王道,问题是你的漏洞够用吗?

突破浏览器沙盒,这在去年可是Pwn2Own的准入门槛。沙盒会形成一个虚拟运行环境,浏览器上的操作都会在这个虚拟的程序中运行,想要入侵电脑,必须找到沙箱的漏洞,并绕过沙箱攻击真实的主机,也就是所谓的沙箱逃逸。

毫无疑问,沙盒绕过是攻破浏览器的王道,但问题是现在设备访问控制如此严格,你还能找到漏洞嘛?找到漏洞后,你的漏洞还能触发和利用嘛?这个时候怎么办,当然是要学会留意一些别人不太注意的问题。举个例子,大家可能认为沙盒本身做得很安全,而实际上,沙盒无论是本身的设计还是应用情景等方面都存在很多问题,沙盒的broker接口、系统LPC等曾经都是Pwn2Own赛场上利用的严重攻击面。

祭奠Pwn2Own赛前“阵亡”的三个浏览器神洞

Pwn2Own是全球公认的知名度最高、含金量最重、也可能是最为刺激的黑客比赛,考前临时换卷子这种变态的情况更是常常出现,360准备的FireFox、Safari以及Edge的三个神洞也就是在赛前不久阵亡的。

但对于360来说,机器猫万能的口袋不是随便吹吹的,漏洞被补不可怕,没能从挖洞中总结经验才要命。比如,被补的FireFox漏洞针对的模块是JS脚本引擎,由于该引擎往往加入很多优化代码,所以审计起来十分困难,但也正因这个原因,很可能存在一些隐藏很深的“神洞”等待挖掘。

再回头看看被补的Safari整数溢出漏洞,会发现其实最简单的漏洞模式,在成熟的软件里面仍然大量存在,代码审计过程中千万不要漏掉这种可能性;最后,从Edge被补的漏洞得出的经验教训就是,JS回调、内核回调等常见的漏洞要求处理跳进跳出等复杂情况,程序员只有避免一条道走到黑的直线思维,才能避免在修复或验证的场景下出错。

其实,细细看来,360提供的所谓经验,无非可以总结为三句话,“跳出刻板思维”、“审视平凡细节”、“不急不躁静待柳暗花明”,这些看来粗糙的道理,却是360安全团队用十年如一日的安全攻坚换来的。

从2015年到2017年,他们在Pwn2Own赛场上拿下了15项冠军,在2017年还拿下了最具含金量的Pwn2Own十周年总冠军。凭借认死理儿的劲头,以及这些朴素的道理,这群机器猫肯定还能从口袋里折腾出更多我们意想不到的奇迹。