破與被破：2018年黑帽大會“破你獎”一覽
每年夏天的黑帽大會，安全專家都會評選網(wǎng)絡安全研究和信息安全界的各種成就和失敗，評選出年度網(wǎng)絡安全最佳與最差，這也就是有著網(wǎng)絡攻防領域奧斯卡獎之稱的：Pwnie Awards，被人們巧妙的稱為“破你獎”。
2018年6月起，安全人員就針對過去一年里披露的各種漏洞開始提名。被提名名單在8月公布，勝者由一組安全研究員組成的評審委員會評出。
“破你獎”獎項林林總總，從“最佳提權漏洞”到“炒作最甚漏洞”到“最差供應商響應”都有，還有授予為安全行業(yè)做出杰出研究與貢獻人士的終身成就獎。
今年的非正式頒獎典禮由一群受人尊敬且幽默的安全專家主持，參加者眾多，歡聲笑語滿堂。有些幸運獲獎者正好就在現(xiàn)場，有些則沒有，比如邁克菲公司創(chuàng)始人約翰·邁克菲。
“破你獎”專家組成員之一，MedSec首席執(zhí)行官 Justine Bone 開玩笑說：“我們認為這是對付當下安全社區(qū)犬儒主義的最佳解毒劑了。”
1. 最佳服務器端漏洞
作為主持人的安全研究員 Chris Valasek 一開場就說：“服務器端漏洞一直是我心里的朱砂痣，我總覺得網(wǎng)絡黑客行為的奧義就在服務器端漏洞。”
最佳服務器端漏洞授予發(fā)現(xiàn)或利用最先進最有趣的服務器端漏洞的研究人員，無需用戶互動即可實現(xiàn)遠程訪問的任何軟件都算在內。
今年該獎項歸屬英特爾AMT遠程漏洞，獲獎者是Embedi 的 Maksim Malyutin。
| 英特爾沒能理解自己芯片硬件層上一段關鍵身份驗證代碼中的strncmp函數(shù)是怎么運作的，雖然整個安全社區(qū)都告訴他們說用這個函數(shù)是個糟糕的主意，但他們還是靠著壟斷地位和基本經(jīng)濟學原理這么干了。 |
其他被提名的漏洞有： 開源郵件服務器Exim單字節(jié)溢出(Off-by-one)遠程代碼執(zhí)行漏洞(RCE) (CVE-2018-6789)、Drupalmageddon 2 和 3 (CVE-2018-7602 和 CVE-2018-7600)、Frag Grenade，以及惠普遠程管理功能iLO和戴爾遠程訪問管理卡iDRAC的多個RCE。
2. 最佳客戶端漏洞
最佳客戶端漏洞獎授予發(fā)現(xiàn)并利用最先進最有趣客戶端漏洞的研究員。
今年 Rob Miller 和 G. Geshev 因“圣誕老人的12個邏輯漏洞禮物”而獲此獎項。
題為《發(fā)現(xiàn)鏈：打造邏輯漏洞利用鏈》的報告中，兩位研究人員描述了自己如何利用來自6個應用程序的11個漏洞組成的漏洞鏈。被利用的漏洞存在于三星、Chrome和安卓開源項目的組件中。這已經(jīng)是Pwn2Own史上最長的漏洞利用鏈了，但兩位研究人員又扔了一個遠程拒絕服務漏洞進去，湊成了一打漏洞。
兩位研究人員均供職今年早些時候剛被F-Secure收購的 MWR Infosecurity。
其他被提名的漏洞有：SOAP Dropper、CVE-2017-11882、DynoRoot1111 (CVE-2018-1111)、CVE-2017-5116和DNS客戶端遠程代碼執(zhí)行漏洞CVE-2017-11779。
3. 最佳提權漏洞
最佳提權漏洞授予發(fā)現(xiàn)或利用了技術最復雜最有趣提權漏洞的研究人員，包括本地操作系統(tǒng)提權、操作系統(tǒng)沙箱逃逸和虛擬機客戶突破漏洞。
熔斷和幽靈漏洞摘得最佳提權漏洞頭銜，貢獻者是 Moritz Lipp、Michael Schwarz、Daniel Gruss、Thomas Prescher、Werner Haas、Stefan Mangard、Paul Kocher、Daniel Genkin、Yuval Yarom、Mike Hamburg、Jann Horn 和 Anders Fogh。
毫不意外今年被提名的是熔斷和幽靈漏洞。這兩個關鍵處理器漏洞給2018年開了個相當糟糕的頭，改變了漏洞披露游戲規(guī)則，代表著需要更多有效安全實踐的新一類威脅。業(yè)界專家表示我們在未來幾年中都還將持續(xù)看到這種效應的延續(xù)。
其他被提名的漏洞有： waitid (CVE-2017-14954、CVE-2017-5123)、RAMPAGE、backboardd Double free()、Holey Beep。
4. 最佳密碼攻擊
Bleichenbacher的Oracle威脅回歸 (ROBOT)贏得了最佳密碼攻擊"破你"獎。該獎項授予發(fā)現(xiàn)了對現(xiàn)實世界系統(tǒng)、算法或協(xié)議影響最大的密碼攻擊的研究人員。獲獎研究人員是被"破你"專家們昵稱為“Bleichenbloodbath”的 Hanno Böck、Juraj Somorovsky 和 Craig Young。
| 我們試了試20年之久的攻擊能否繼續(xù)奏效，Web服務器是否還存在 Daniel Bleichenbacher 在1998年發(fā)現(xiàn)的 RSA Padding Oracle 攻擊。 |
結果顯示，情況依然如Hanno所料想的。ROBOT——19歲高齡的漏洞回歸，能讓攻擊者執(zhí)行RSA解密和用TLS服務器的私鑰來簽署操作。
只要做些小改動，該高齡攻擊就能繼續(xù)針對很多現(xiàn)代HTTPS主機下手。該團隊發(fā)現(xiàn)了很多供應商都可能無法幸免，包括Citrix、思科和F5。流行網(wǎng)站，比如Facebook和PayPal，以及Alexa上排名前100網(wǎng)站中的27個域名，也未能幸免。
其他被提名的加密攻擊有：用滲漏信道破解SMIME和OpenPGP電子郵件加密、Coppersmith攻擊的回歸：RSA模量實用因數(shù)分解、IOTA Curl-P、密鑰重安裝攻擊：強制臨時重用破解WPA2。
5. 最具創(chuàng)新性研究
幽靈/熔斷被授予的第二個"破你"獎項。獲獎者是將該最有趣最具創(chuàng)新性的研究以演講、論文、工具甚至郵件列表形式發(fā)布的同一支團隊。
專家預測，熔斷和幽靈的發(fā)現(xiàn)可能會揭開微處理器漏洞涌出的創(chuàng)口。芯片級漏洞不僅存在，可供探索的空間還很大，研究人員將繼續(xù)圍獵此類漏洞。今年早些時候首次曝出幽靈漏洞以來，陸續(xù)又有幾個變種被研究人員發(fā)現(xiàn)了。
其他被提名的還有：Throwhammer、Smashing-Smart-Contracts、TLBleed、GrandPwningUnit/GLitch。
6. 最差供應商響應
Bitfi被塞給了這個誰都不想要的"破你"獎項，因為他們以最引人注目的方式錯誤地處理了安全漏洞。
2018年7月，約翰·邁克菲放出10萬美元賞金，邀人破解他所謂“世界上首個黑不了的設備”——Bitfi錢包。之后不久，Bitfi將賞金增加到25萬美元。重賞之下勇夫頻現(xiàn)，據(jù)說1周之內就有人拿到了該設備的root權限，好幾個人都破解了該設備并宣稱這錢包根本沒有任何硬件安全機制，甚至連防篡改都沒有。
但是Bitfi和邁克菲辯稱，拿到root權限不等于黑掉了設備，只有能拿走里面的加密貨幣才算。研究人員紛紛鄙視這一漏洞獎勵，稱根本就是騙局。而邁克菲之后在視頻中說，他不過是想宣傳Bitfi。
其他被提名的還有：ThinkRace/Trackmageddon、布達佩斯交通管理局 (BKK)、T-Mobile Austria、Yubico。
7. 炒作最甚漏洞
在網(wǎng)絡和或媒體上引發(fā)大肆炒作以致推高漏洞評級，但最終卻證明根本無法實際利用的漏洞，就能獲得該"破你"獎。0day.marketing發(fā)現(xiàn)的 Holey Beep (CVE-2018-0492) 獲得了該獎項。
作為提權漏洞，Holey Beep 僅影響到1.86%的互聯(lián)網(wǎng)用戶，但卻有自己的漏洞描述頁面，被"破你"人士看作是對“品牌漏洞的攻擊”，比"破你"獎本身的帖子還有趣。
其他被提名的還有：Efail (CVE-2017-17689)、熔斷和幽靈(CVE-2017-5715)、Zip Slip (CVE-2018-1002204)、Zipperdown。
8. 終身成就獎
波蘭安全專家、白帽子黑客、前谷歌安全工程總監(jiān) Michał Zalewski 獲此殊榮。他寫的《線上沉默》被"破你"評審之一認為是黑客意義的最佳體現(xiàn)。當然，為Michal帶來該榮譽的絕不僅僅只是這一本書，頒獎典禮上長久的起立鼓掌很能說明問題。
Michal是安全社區(qū)的高產(chǎn)貢獻者，數(shù)十年來以他獨特的方式為安全界提供工具和資源。他開發(fā)了面向安全的模糊測試器 American Fuzzy Lop (AFL)，該測試器曾被DARPA網(wǎng)絡挑戰(zhàn)賽決賽用作底層引擎。他還做出了p0f工具，利用被動流量指紋機制檢測TCP/IP通信方。
【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
