提起VxWorks可能有些朋友会感到陌生，VxWorks是一个运行在目标机上的高性能、可裁剪的嵌入式实时操作系统。该系统以其良好的可靠性和卓越的实时性被广泛应用在通信、军事、航空、航天等高精尖技术及实时性要求极高的领域中。
这些领域作为人类最高智慧的结晶，理应万无一失。但震惊事情还是发生了， Istuary安全研究团队的首席研究员Zhenhua 'Eric' Liu和该团队IT安全研究员Yannick Formaggio发现了严重漏洞，他们绕过绕过了系统内存保护、并且在没有适当授权时创建了一个root级别的账户。另外，两位专家发现VxWorks操作系统内置FTP服务器会因另外一个漏洞发生环形缓冲区溢出问题，它在收到极高速度的恶意用户名和密码的时候会崩溃，但这只相当于对设备的网络发起了DDoS攻击。同时，两位专家在一次快速网络扫描，发现至少有十万台运行VxWorks的设备连接到了互联网中。
如果说，设备接入互联网后才出现了安全隐患，那没有联网的设备就可以保证其安全性呢？360公司独角兽团队的郑玉伟在接受笔者采访时谈到，即使是没有接入互联网的设备理论上也有被攻克的可能，如果侵入到NASA系统的局域网中，就有可能侵入航天飞机的VxWorks系统，让航天飞机失去控制，最智能、最顶尖的设备变成“傻瓜”。
可以肯定的是，以往黑客技术多在虚拟的信息世界中施展，但随着智能硬件和物联网成为科技发展的一种新趋势，黑客的控制力也渗透到了这一领域。近年来网络入侵事件猛增，这也警惕我们数据泄露是不可避免的。然而网络安全又是一个十分特殊的领域，从业者需要熟知网络安全的发展脉络，从老的、静态的威胁到新型的APT威胁都需要掌握，而能做到兼具见识广度和技能深度的人才少之又少。所以我们需要一个技术交流平台，在学习技术的同时，将攻击手段和漏洞有约束的曝光，以免被地下黑客滥用。
还记得去年Syscan360特斯拉的破解挑战赛么，前后吸引了众多业界公司和互联网安全爱好者的关注，并引发了公众对新兴只能产品安全性的高度重视。今年，Syscan再次携手奇虎360合力举办，大会专注于前瞻性的技术探讨，旨为中国、亚洲乃至世界上关注互联网信息安全技术的行业同仁，搭建起一个兼具深度和广度的沟通平台。
据了解，在本届的大会上，Istuary的两位专家将带来《攻击VxWorks:从石器时代到星际穿越》的精彩演讲，这个题目曾9月在伦敦引起安全领域的轩然大波，此次演讲首次“登陆”中国。届时，两位专家将对VxWorks的安全性进行了深入的分析，包括其支持的网络协议和OS安全机制，同时展示团队开发的VxWorks评估工具，主要目的是通过在python中实现WdbRPC协议来提供有效的渗透测试。为了显示它的效果，揭示一些在研究过程中发现的bug，对于众多白帽子来说，这是一个最为难得的学习良机。
在突然到来的万物互联时代，安全准备不足，全意识薄弱，这就需要全方位的协作，唤醒全社会的安全意识，共同关注万物互联的安全问题。本届Syscan360吸引了更多安全极客的积极参与，帮助智能硬件产品发现产品缺陷和漏洞，从而进行完善。参与本届Syscan360大会中，相信你会收获更多精彩内容，等你参加https://www.syscan360.org/
1
