PWN2OWN黑客大赛2009到底有哪些猛料?

原创
安全
3月18日黑客大赛如火如荼的开始之后,网上出现了很多相关赛事的报道。如“黑客5秒钟攻破Mac系统 Safari是罪魁祸首”和“黑客大赛曝Safari、IE8与Firefox零日攻击”等。51CTO也在之前为网友们提供了赛事安排表。到底今年的大赛到底准备了那些系统和软件让大家来测试和攻击?到底准备了那些猛料?

【51CTO.com 独家报道】3月18日在温哥华举办的CanSecWest黑客大赛如火如荼的开始之后,网上出现了很多相关赛事的报道。如“黑客5秒钟攻破Mac系统 Safari是罪魁祸首”和“黑客大赛曝Safari、IE8与Firefox零日攻击”等。51CTO也在之前为网友们提供了介绍和时间表,详情请见:“http://netsecurity.51cto.com/art/200902/110496.htm

到底今年的大赛到底准备了那些系统和软件让大家来测试和攻击?到底准备了那些猛料?我们来看看以下来自51CTO记者的报道。


PWN2OWN 2009


在经过多次讨论和研究之后,PWN20WN比赛的最终安排如下:


浏览器和联合测试的平台

索尼VAIO - Windows 7(51CTO编者按:去年也是索尼VAIO。)


IE8
Firefox
Chrome

苹果机 - (这个不用说啥系统了吧)


Safari
Firefox

第一天:默认不安装额外插件,用户去连接。

第二天:安装flash, java, .net, quicktime。用户去连接。

第三天:安装像Acrobat Reader那样的大众软件,用户去连接。

任务?- 在应用程序的环境中执行代码。(51CTO编者按:提权溢出之类的)

--------------------------------------------------------------------------------

电话(和其他相关的测试平台)

黑莓(TBA)

谷歌Android手机(G1开发测试版)

苹果iphone手机(2.0正式版)

Nokia/Symbian(机型N95)

Windows Mobile (宏达 Touch)

第一天

SMS 短信

MMS 彩信

Email 电子邮件(只看收取的)

wifi 无线,如果默认开启的话

bluetooth蓝牙,同上

Radio 无线接收器

第二天

电子邮件/短信/彩信(只可以读取-不可以有间接行为)

无线保持启动

蓝牙保持启动(默认不接受配对。耳机是配好的。配对过程不可见。)

第三天

在默认应用程序用户界面的一个层面

蓝牙保持启动(默认不接受配对。耳机和满足以上要求的其他设备是配好的。配对过程不可见。)

任务?必须去实现……

1.造成信息丢失(用户数据)

2.造成财务损失

51CTO编辑观察:

首先,对老外能举办这类真刀真枪测试产品的活动表示赞扬。大致看了一下,基本上国外顶尖安全厂商全部参与。这次的大赢家是德国人Nils,这哥们快把所有主流浏览器都破坏了个遍。成功收获15000美元和一台笔记本电脑。上届冠军Charlie Miller在10秒内拿下Safari,顺利收获5000美元和一台苹果笔记本。相对来说,智能手机的安全性还是比较经受考验的,没有出现30秒内被攻破的事情。

事实证明,世界上并不存在绝对安全的浏览器,以前说什么用Firefox不会中毒这样的事情,很遗憾只是YY。这一年来Firefox的漏洞甚至超过其他浏览器的总和,虽然它的修补速度够快。在51CTO记者截稿前,谷歌Chrome的表现似乎足够坚挺。但之前爆的漏洞也不少。笔者认为暂时的未攻破有以下几点原因:

1.相对Firefox和IE8、Safari之类浏览器来说,谷歌chrome本身的代码量就少,说是个精悍的浏览器内核都不为过。

2.它真的是足够新了,目前还算是“非主流”(51CTO编者按:Windows默认IE,MAC默认Safari,Linux默认Firefox。Chrome虽系出名门,但要想雄霸一方尚需时日)其他浏览器都至少出了三代,它最近才出2.0beta,而且还已经是升的非常非常勤了。

3.Google设计chrome的初衷就是,除了本地的管理员以外,普通用户也可以不限使用。加上沙盒(sandbox)技术,让它的安全性显著提高,换句话说,即使发现了chrome的漏洞,骇客也只有很小的权限,无法造成很大的破坏。

当然,黑客们找到Chrome新的攻击方式只是时间问题,我们可以拭目以待。

希望我们国家也能尽快出现此类活动,并对国内的信息安全研究给予支持和良好导向。这类活动不仅能为社会发掘更多的技术天才,更是能有效推进我国的信息安全产业发展。有攻才有防,有防才有保障。将更多的安全人才引向“白色产业链”,避免让更多的优秀人才戴上“黑帽”,这是好事,更是值得去做的事。

【51CTO.com 独家报道,转载请注明出处及作者!】

【编辑推荐】

  1. 获胜黑客谈Mac OS X、Chrome、Firefox
  2. Google的云计算,你真的安全吗?
  3. 自己动手打造公司内网监管利器
  4. 利用HTTP-only Cookie缓解跨站点脚本攻击
责任编辑:王文文 来源: 51CTO.com
相关推荐

2013-03-08 09:17:58

2014-03-24 17:54:25

2015-03-22 09:22:51

2015-03-12 15:38:06

2011-03-11 09:41:53

2015-03-17 11:15:06

2015-03-18 16:17:27

2010-03-19 12:42:27

2015-03-19 10:35:55

2014-03-19 14:31:09

2013-03-18 09:57:12

2010-03-29 10:04:11

2010-03-25 15:57:37

2015-03-22 09:14:59

2016-03-21 15:13:07

2013-11-13 16:57:16

2013-01-22 10:07:07

2015-10-12 16:57:34

2015-03-20 16:12:23

2009-05-12 09:01:50

点赞
收藏

51CTO技术栈公众号