关闭

绑定手机号

应国家法规对于账号实名的要求,请您在进行下一步操作前,需要先完成手机绑定 (若绑定失败,请重新登录绑定)。了解更多

不绑定绑定手机号

360官网 | 360商城 | 360手机官网 | 社区客户端

推荐 论坛 版块 活动 众测 商城

360社区

360社区


在 Pwn2Own大赛的 PacSec 安全会议部分,ZDI 颁发了超过50万美元的现金奖励,并为18个有效漏洞支付32.5万美元。


Day 1:两人组拿下三款手机


在第一天,由 Amat Cama 和Richard Zhu 组成的 Fluoroacetate 团队通过 NFX 组件攻破小米 Mi6 手机。他们使用触摸连接功能打开设备上的 web 浏览器并导航至某个网页,利用 WebAssembly 中的带外写入漏洞实现了代码执行。二人组由此率先获得3万美元的奖励。


ZDI 表示,“在演示阶段,我们甚至都没有意识到这种操作发生了。换句话说,在现实生活中用户无法阻止这类操作。”


然而,Fluoroacetate 团队并未止步于此,他们对三星 Galaxy S9 发动攻击并通过负责手机蜂窝式无线电的基带组件中一个堆溢出漏洞再赢5万美元。鉴于该组件的敏感属性以及用户无法控制连接的情况,这一战绩令人印象深刻。


iPhone X 似乎也无法抵御 WiFi 攻击,Fluoroacetate 团队借由 web 浏览器中的一个 JIT 漏洞和带外写入 bug 实现了沙箱逃逸和权限提升。团队借此再获6万美元的奖励,即第一天就获得共计14万美元的奖金。


MWR 实验室团队(团队成员包括Georgi Geshev、Fabi Beterke 和 Rob Miller)也攻破小米设备。这个三人组强迫默认 web 浏览器在手机连接至 WiFi 服务器时加载了一个门户页面。通过利用多个安全 bug,他们使用 JavaScript 安装了一个 web app,绕过了应用白名单并自动启动。为实现这一目的,三人组连续使用了五个不同的 bug,赢得3万美元的奖励。


MWR 实验室也瞄准了三星 Galaxy S9。他们首先在无需用户交互的情况下将其强制导向强制门户认证,接着利用不安全的重定向和不安全的应用加载,安装了特殊应用程序。第二次尝试获得成功,赢得3万美元的奖励。


MichaelContreras 利用了 JavaScript 中的一个类型混淆漏洞从而实现在小米 Mi6上执行代码的目的,因此获得2.5万美元的奖励。


谷歌 Pixel 2 和华为 P20 手机出现在了大赛中。


Day 2:”Master of Pwn”的称号花落谁家?


Fluoroacetate团队率先在 iPhone X 和小米 Mi6 中再次找到 0day 漏洞。


他们通过利用 iPhone X 中的 0day 漏洞和浏览器中的 JIT bug 以及带外访问权限从手机中提取出一个遭删除的图像,为此5万美元收入囊中。


这个二人组还利用一个证书溢出漏洞,从小米 Mi6 手机中提取了一张图片,再获2.5万美元的奖励。


MWR 实验室结合使用一个下载 bug 以及通过静默的 app 安装,加载了一个自定义应用并从手机中窃取了某些照片,赢得2.5万美元。


最终,Fluoroacetate 团队以45分以及21.5万美元的奖励摘得“Master of Pwn”的桂冠。


PS: 据外媒报道称,本次新增的物联网类别尚无人问津。


来源 360代码卫士

共 8 个关于Pwn2Own 2018东京大赛结果揭晓:iPhone X、Galaxy S9、小米6均被破解的回复 最后回复于 2018-11-16 20:22

评论

直达楼层

郯城知县 LV9.中校 发表于 2018-11-16 08:55 | 显示全部楼层 | 私信
在360面前谈安全的任何品牌都是白扯蛋
来自360手机N6(360社区3.4.8版)
360fans_75898719 LV7.上尉 发表于 2018-11-16 09:23 | 显示全部楼层 | 私信
支持360         
tan7177 LV13.中将 发表于 2018-11-16 09:26 | 显示全部楼层 | 私信
世上没有攻不破的程序!!!
xbtglibai360 LV12.少将 发表于 2018-11-16 10:49 | 显示全部楼层 | 私信
支持下   
muzb LV8.少校 发表于 2018-11-16 15:32 | 显示全部楼层 | 私信
支持下  
ever非你不爱 版主 发表于 2018-11-16 16:04 | 显示全部楼层 | 私信
天下没有绝对安全的系统
alisime LV11.大校 发表于 2018-11-16 16:11 | 显示全部楼层 | 私信

谢谢分享!
潭深千尺 LV8.少校 发表于 2018-11-16 20:22 | 显示全部楼层 | 私信
欣赏分享
您需要登录后才可以回帖 登录 | 注册

本版积分规则

飞机飞行 超级版主

粉丝:150 关注:12 积分:110058

精华:70 金币:148878 经验:94792

最后登录时间:2018-12-16

私信 加好友

飞机飞行

粉丝:150 关注:12

私信

最新活动

手机冬季活动

排行榜

热度排行 查看排行
今日 本周 本月 全部
    今日 本周 本月 全部

      内容推荐 热门推荐最新主帖

        360社区客户端下载

        快速回复 返回顶部 返回列表