见证中国安全高光时刻，360连续九年亮相Black Hat全球黑帽大会

美国当地时间 8 月 6 日— 11 日，Black Hat USA 2022 在拉斯维加斯重磅拉开帷幕。作为安全行业的知名大会，Black Hat USA 每年都会向外界持续输送出最新的安全研究成果、创新技术等前沿资讯，是展现全球安全发展风向的最好窗口，被公认为 " 黑客界的奥斯卡 "。

今年，360 数字安全集团共有两大漏洞研究成果成功入选这场顶级安全技术盛会，来自 360 数字安全集团旗下漏洞研究院的高级安全研究员简容、Steven Seeley 分别以《与浏览器对话的另一种方式：在网络层利用 Chrome》、《I Am Whoever I Say I Am: Infiltrating Identity Providers Using a 0Click Exploit》为题进行了深度分享，向世界展现出中国安全力量的蓬勃脉动。

数字技术的发展，让政府、企业的数字化转型已经是势在必行的趋势。然而，伴随业务模式的变化与业务数量的增加，安全风险也随之愈加多样化与复杂化。其中，浏览器作为数字化办公的重要基础设施，其网络组件承担了资源加载这一关键而复杂的任务。它不仅负责提供高层 JavaScript API 实现，还需要管理每个底层套接字连接。在浏览器与远程服务器通信的过程中，服务器可以控制发送到浏览器的每个字节，这可能会导致浏览器解析输入时出现内存安全问题。360 漏洞研究院高级安全研究员简容则从这些由数据处理引起的安全问题切入，并在更高维度解析了浏览器在处理意料之外的网络响应过程中存在的一些特殊逻辑错误。

他在演讲中展示了在 Chrome 网络组件中发现的几个高危漏洞，以及利用这些漏洞远程控制渲染进程，并进一步逃逸 Chrome 沙箱的完整过程。这些漏洞在 2021 天府杯网络安全竞赛中被成功用于攻破 Chrome 浏览器，借此，360 漏洞研究院在当年也成为 " 天府杯 " 唯一实现 Chrome 项目 " 二连胜 " 的战队。

此外，360 漏洞研究院高级安全研究员 Steven Seeley 此次则针对政企办公环境下十分常用的身份和访问管理 ( IAM ) 解决方案，着重介绍在审计过程中所面临的挑战与解决思路。

他表示，身份和访问控制是敏感系统的看门人。由于 IAM 系统通常需要暴露在互联网上，作为受信任的组件来管理认证，同时也能访问到成百上千的用户和应用程序，因此一旦这个系统被攻破，那么安全防护将土崩瓦解，造成敏感信息泄露和进一步网络攻击的巨大风险。

自 2014 年起，360 连续九年登上 Black Hat 全球黑帽大会的舞台，并多次在 Black Hat USA 中发表了关于操作系统端、Android 设备端等一系列引领行业发展的漏洞利用思路。本届 Black Hat USA 2022 中，360 数字安全集团旗下的漏洞研究院继续提交出极具研究价值的成果，让全球看到中国乃至亚洲安全力量的强势崛起。

面对不断加剧的高级威胁，360 漏洞研究院还凭借着一次又一次震撼全球的安全实力，不仅成为微软 MSRC、天府杯等国际奖项中屠榜的 " 常客 "，还荣膺中国首个 "The Pwnie Awards" 史诗级成就奖和最佳提权漏洞奖，更是连续多年获谷歌官方漏洞奖励计划年报（VRP）公开致谢。

作为数字安全的领导者，360 数字安全集团未来也将继续从政策、标准、检测、修复、应急响应等多方面积极推进，携手全球合作厂商，共同感知漏洞风险，看见安全威胁，并联合制定抵御高级攻击的防御方案，为推动数字安全的高质量发展做出更多贡献。

来源网络