站长之家- 传媒 2020-11-09T11:56:45 +08:00

2020天府杯落幕 360政企安全联队斩获多个“全球首破”

11 月 8 日,为期两天的2020“天府杯”国际网络安全大赛落下帷幕。本次大赛由 360 集团联合多家行业顶尖单位共同主办, 来自多家海内外知名公司及机构的 20 余支队伍、近百位技术白帽齐聚于蓉,展开了一场酣畅淋漓的破解之战。

在产品破解赛上, 360 政企安全联队( 360 政企安全漏洞研究院、 360 落叶知秋、360CDSRC)强势屠榜,一举斩获81. 25 万美金奖励,所获奖金总数远超其他参赛战队奖金总和,成功领跑天府“摘金”榜单。

其中 360 政企安全漏洞研究院凭借攻破Chrome、Firefox、VMWare ESXi、SamsungGalaxy S20、CentOS8、KVM-qemu、Adobe PDF Reader、iPhone11pro、TPlink项目,摘得 2020 天府杯“最佳产品破解奖一等奖”的重磅殊荣。另外两支战队同样表现不俗, 360 落叶知秋团队成功攻破Samsung Galaxy S20 项目,360CDSRC则实现了Adobe PDF Reader项目的破解。

这是 360 安全团队继2018、 2019 两年蝉联“天府杯”冠军后,再度问鼎天府杯冠军之席,毫无疑问地证明了 360 强势领跑全球的漏洞研究及挖掘能力。

尖峰较量

360 政企安全漏洞研究院达成多个“全球首破”

历经三载,天府杯国际破解大赛不断提升赛事规格,致力于打造一场具有中国特色的网络安全技术盛宴,赶超国际黑客大赛“Pwn2Own”。本次大赛特设了 100 万美元奖金,其中90%奖金用于产品破解赛,单项最高奖金高达 18 万美元,足见其重量。

另外,组委会结合世界知名黑客大赛战况,精心遴选了难度大、漏洞影响范围广、对我国安全环境有重大影响、体现网络安全发展趋势的赛题,涵盖PC端、移动端、服务器端、IOT设备等在内的多个破解题目。

回顾整场战况,堪称神仙打架。开赛首个项目是Chrome,众所周知桌面版Chrome浏览器市场占有率高达70%,目前微软的Edge浏览器也采用了Chromium内核。破解赛上, 360 政企安全漏洞研究院使用了 2 个0day漏洞,成功突破Chrome沙箱保护,实现了远程在目标机器上执行任意代码的效果,一举摘得 10 万美元首金。 这也是继 2015 年后,Google Chrome全球首度被破解。

随后,在Firefox浏览器项目上, 360 政企安全漏洞研究院同样利用0day漏洞对其进行突破,成功控制系统,整个过程仅有 6 秒! 打破了Mozilla Firefox自 2018 年未被攻破的记录。

在针对虚拟化届翘楚——VMware的破解项目上, 360 政企安全漏洞研究院的选手利用用户态程序的UAF漏洞,实现代码执行,再通过一个内核漏洞,获得内核级别的代码执行,最终得到系统最高权限。作为全场奖金最高的项目,VMWare ESXi的破解难度系数极高,另外,由于市面上云主机、虚拟主机大多由VMWare ESXi搭建而成,一旦被攻破,波及范围广泛、造成后果严重。

在第二天的破解赛上, 360 政企安全漏洞研究院针对iPhone11pro系统进行了破解,利用0day漏洞在系统进程里实现代码执行,从而实现窃取用户手机相册、通讯录等敏感信息。 这是继iPhone“祭出”超强缓解机制后,国内外首次破解,且用时仅有 10 秒!

另外两支来自 360 政企安全集团的团队也一路高歌猛进,在针对Samsung Galaxy S20 破解项目上,落叶知秋团队利用0day漏洞成功攻破系统。在Adobe PDF Reader项目上,360CDSRC团队利用0day漏洞对Adobe PDF Reader进行攻击,完成了RCE和沙箱逃逸,实现了对系统的控制。

真刀实枪

中国版Pwn2Own锻造本土网络安全品牌

在“天府杯”国际网络安全大赛暨 2020 天府国际网络安全高峰论坛闭幕式上,本次大赛裁判代表、 360 集团首席安全技术官&首席技术官郑文彬在演讲中提到, 天府杯破解大赛的核心目标是为安全研究人员提供一个接近实战的平台,同时让国际、国内有极大影响力的厂商发现自身安全漏洞,提高产品安全性。

大赛裁判代表、 360 集团首席安全技术官&首席技术官郑文彬

据悉,在“天府杯”为期两天的产品破解赛中,一共设置了 16 个目标项目,收获了 34 个0day漏洞。这些漏洞已向相关厂商提交,参赛战队也将协助谷歌、苹果、VMware等巨头公司针对比赛中被攻破的产品尽快发布补丁修复安全漏洞。

现场郑文彬也分享了几个有意思的漏洞,比如Docker、QEMU以及Esxi项目,都是在云端对应用进行隔离、虚拟化的目标。在Esxi项目中,攻击者可以通过通用设备攻破虚拟化的“叹息之璧”,接着利用沙箱的漏洞控制host系统。面对这种攻击方式,企业隔离防护应用必然会受到影响。另一个全球首破项目——Docker也在轻量化容器的应用面前摆出一道实际安全威胁。

无疑,数字时代全球网络空间正面临前所未有的漏洞威胁挑战,众多漏洞也成为具备强大威慑力的新型网络武器。想要掌握漏洞资源,必须锤炼我国安全研究团队的能力。 此次天府杯破解大赛正是提供了“真刀实枪”的破解环境,为国内外顶尖网络安全技术人才贡献了切磋技术和交流的优质平台,为锻造中国网络安全品牌、整体提升我国网络安全技术技能和实力贡献力量。

作为国内头部安全企业, 360 政企安全集团在长期的高阶网络安全实战对抗中掌握了全球领先的高危漏洞捕获能力,此次三度蝉联天府杯冠军之位更证明了其硬核安全实力。面对全面数字化时代下的新安全、新威胁, 未来 360 将持续加强在漏洞安全研究方面的投入和锻造,维护网络空间安全,为国家安全和人民安全打造最坚实的铜墙铁壁。

相关话题

推荐关键词

24小时热搜

查看更多内容

大家正在看

360

安全居士360的可怕

360退出北京时间 360官方是怎么回应的?

360大战QQ结果:360输了战争赢了用户

其实360很委屈?细数奇虎360的成长史

360称率先发现Win7安全漏洞 对政企威胁大

360出席金投赏 “360来店通“成全场热议焦点

奇虎360正式推出:360安全快递

360没有内容

越界的360

进击的360

360的救赎

360必将败亡

360私有化的思考:让懂360的人决定它的未来

Gear 360售价公布:比LG的360 Cam贵太多

奇虎360重金收购360.com

基努·里维斯空降360总部 或将代言360搜索

360公司推出360安全卫士XP专版