您的位置: 网界网 > 新闻 > 正文

Pwn2Own黑客挑战赛:IE 9也未能幸免

2012年03月12日 14:33:28 | 作者:胡杨编译 | 来源:网界网 | 查看本文手机版

摘要:法国安全公司的一个小组在3月8日的Pwn2Own黑客挑战赛中攻破了微软的IE 9浏览器,使它在这次年度竞赛中攻破了两个浏览器。

标签
黑客
浏览器
IE 9
Chrome
Pwn2Own

 

【CNW.com.cn独家译稿】法国安全公司的一个小组在3月8日的Pwn2Own黑客挑战赛中攻破了微软的IE 9浏览器,使它在这次年度竞赛中攻破了两个浏览器。

在3月8日星期四,谷歌修复了Chrome浏览器的两个安全漏洞。一位为谷歌漏洞奖励计划做出长期贡献的人在谷歌首次举行的“Pwnium”黑客竞赛中获得了6万美元奖金。

位于巴黎的Vupen安全公司的一个小组利用两个已知的零日攻击安全漏洞攻破了在Windows 7平台上运行的IE 9浏览器。这两个安全漏洞可绕过操作系统的防御技术执行攻击代码,让攻击代码避开IE浏览器的“保护模式”。这个模式是IE浏览器的限制权限的反利用漏洞系统。

星期三(3月7日),Vupen的研究人员还利用一个零日攻击安全漏洞攻破了在Windows 7平台上运行的谷歌Chrome浏览器。谷歌怀疑这个漏洞不是在Chrome浏览器的本地代码中。Vupen的研究人员执行了一个代码和另一个代码,突破了Chrome浏览器的“沙箱”。

Chrome浏览器利用沙箱隔离技术防止浏览器泄露恶意软件感染计算机的操作系统。

Pwn2Own竞赛的赞助商惠普TippingPoint的零日攻击计划在周四(3月8日)晚些时候证实了Vupen的工作。

Vupen在Pwn2Own比赛上一直没有对手。截至星期五(3月9日)早上,Vupen在计分系统中已经获得了124分。这个分数将使它在周五晚些时候获得现金奖励。

TippingPoint安全研究团队的负责人和Pwn2Own竞赛的组织者Aaron Portno表示,Vupen的领先地位目前看来是不可能战胜的。得分最多的研究人员或者团队将得到由ZDI提供的6万美元奖金,第二名将获得3万美元奖金,第三名将得到1.5万美元奖金。

谷歌修复了Sergey Glazunov在星期三披露的两个零日攻击安全漏洞。Glazunov是到目前为止唯一的一位声称将获得谷歌为自己的Pwnium竞赛设定的100万美元奖金中的一部分奖金的研究人员。

Glazunov在温哥华举行的CanSecWest会议上向谷歌安全团队演示了Chrome浏览器的安全漏洞。在他演示之后不到24小时,谷歌在周四早些时候发布了新版本的Chrome 17浏览器。CanSecWest安全会议举行了Pwn2Own竞赛和Pwnium竞赛。

Glazunov由于自己的工作成绩获得了6万美元奖金。

Pwn2Own是在CanSecWest会议上第六年举行这种竞赛。Pwnium是今年首次举行。

Glazunov展示了谷歌分类为“全面的Chrome漏洞”的安全漏洞。虽然谷歌没有发布关于这些安全漏洞的额外信息,但是,谷歌像以前修改Chrome浏览器时所采取的措施一样,阻止公开访问它刚刚修复的这个安全漏洞的漏洞跟踪数据库。这表明Glazunov利用的两个安全漏洞都是谷歌制作的代码。

谷歌发言人在周四回答提问的电子邮件中称,谷歌还没有修复Vupen利用的安全漏洞,因为它还没有收到来自ZDI的信息。

谷歌安全工程师在CanSecWest会议上也指出了这个问题。谷歌的Justin Schuh周四在微博中称:“我确实希望ZDI提出这个安全漏洞,这样,我们就可以制作一个补丁。”

Pwn2Own竞赛还没有把安全漏洞信息提交给谷歌或者微软。但是,Portnoy称,他们将在比赛周五结束之后把这些信息提交给谷歌和微软。

谷歌和ZDI对于CanSecWest会议的黑客竞赛一直存在分歧,因此谷歌退出了Pwn2Own竞赛并且推出了自己的竞赛。这个分歧集中在竞赛完成之后ZDI要向厂商报告什么信息。

ZDI称,它将向厂商报告执行代码安全漏洞,但是,不报告避开沙箱的安全漏洞。ZDI认为,后一种情况很少,因此没有价值。这个做法不可能吸引研究人员设法攻击Chrome浏览器。

上个星期,ZDI进一步指出,任何研究人员都不会放弃Chrome沙箱避开安全漏洞和利用这种漏洞(+本站微信networkworldweixin),尽管谷歌提供6万美元的头等奖奖金。

当人们要求对ZDI的预测发表评论时,Portnoy指出Glazunov是不断地为谷歌漏洞报告计划做贡献的人并且争辩说,提交这个安全漏洞表明了厂商与独立研究人员建立牢固的关系的价值。

Portnoy称,建立这种关系是有价值的。尽管研究人员对于他们因发现安全漏洞而获得的奖金不完全满意,但是,他们仍向ZDI提交安全漏洞信息,因为他们了解我们,他们知道能够向我们求助。

Portnoy称,谷歌从它与Glazunov的关系中得到了同样的好处。

Glazunov是一个Chrome浏览器安全漏洞报告机器。在2011年,他因为发现了许多安全漏洞获得了谷歌的将近5.9万美元奖金。

根据自己的做法,ZDI没有披露Vupen用于攻破Chrome和IE9浏览器的安全漏洞,并且在厂商发布安全补丁之前不会公布这些安全漏洞。然而,谷歌的Schuh认为,这个法国小组利用的安全漏洞不在Chrome浏览器自己的代码中,而是在Adobe的Flash播放器软件中。这个软件是与每一次Chrome更新一起发布的。

ZDI和谷歌都暗示,在Pwn2Own和Pwnium竞赛在3月9日结束之前还会有更多的浏览器破解演示。

用于Windows、Mac OS X和Linux平台的Chrome 17浏览器可以从谷歌网站下载。目前使用Chrome浏览器的用户在下一次启动这个浏览器的时候会收到一个自动的后台更新。(编译/胡杨)

 

[责任编辑:文山 wen_shan@cnw.com.cn]