全球黑客大賽獲獎者 攻破微軟IE8只需2分鐘

2022-02-14 13:05:00 字數 1772 閱讀 7902

黑客大賽ie8被攻破

來自荷蘭的黑客皮特·維萊格登希爾(peter vreugdenhil)和一位自稱尼爾斯(nils)的德國研究人員成功突破了windows 7最有名的兩項反黑客功能:dep(資料執行保護)和aslr(位址空間隨時載入)。

維萊格登希爾首先繞過了aslr防護,然後又繞過了dep,進而成功攻破ie8瀏覽器。乙個半小時之後,尼爾斯使用類似的策略繞過了這些防護策略,攻破了火狐3.6瀏覽器。兩人均贏得了一台膝上型電腦、1萬美元的獎金以及出席今年7月份defcon黑客大會的資格。

大賽主辦方的艾倫·波特諾伊(aaron portnoy)表示:「今天的每一種攻擊方式都是高水平的,攻破ie8的方式尤為引人關注。」

aslr通過隨時載入關鍵儲存區的位置,使黑客難以**他們的攻擊**是否能夠執行。針對這個防護措施,維萊格登希爾首先利用大量的弱點獲得了ie8載入到儲存器當中的乙個.dll模組的基本位址,然後再利用這個模組去攻擊dep防護程式。

2023年微軟推出windows xp service pack 2時推出了dep功能,旨在阻止惡意**在不該執行的區域執行,以此來防止緩衝區溢位攻擊(buffer overflow attack)。維萊格登希爾表示:「我的攻擊方式對微軟自己的**進行了再利用,以此來繞過dep。你可以利用微軟自己的**來破壞記憶體保護。」

獲獎黑客:攻破ie8只需2分鐘

維萊格登希爾解釋說:「這是一種分兩步走的攻擊方式。我可以採取一步措施即攻破ie8,但那要花費太長的時間。」通過這種兩步走的攻擊方式,維萊格登希爾僅用2分鐘便控制了這台裝有windows 7電腦,而如果使用一步措施,那麼需要大約50到60分鐘。

維萊格登希爾表示,由於比賽時有一些限制,因此自己並不知道在pwn2own大賽上攻破ie8用了多長時間。他說:「但是這種感覺很棒。當時我有點緊張。我相信,肯定還有其它的方法攻破ie8。」

火狐和safari也被攻破

在攻破火狐3.6瀏覽器的過程中,尼爾斯同樣繞過了windows 7環境下的dep和aslr防護功能。與維萊格登希爾一樣,尼爾斯也獲得了1萬美元的獎金。這是尼爾斯第二次參加pwn2own黑客大賽。在去年的pwn2own黑客大賽上,尼爾斯一共攻破了火狐、safari和ie8三款瀏覽器,共獲得了1.5萬美元的獎金。波特諾伊表示:「與以往一樣,尼爾斯的攻擊方式非常全面。」

另外一位名叫查理·公尺勒(charlie miller)的黑客攻擊了一台蘋果macbook pro筆記本,並在該筆記本的snow leopard作業系統環境下攻破了safari瀏覽器。公尺勒因此同樣獲得了1萬美元獎金,所攻破筆記本也歸他所有。

微軟承認ie8漏洞

大賽主辦方tippingpoint購買了各位獲獎者所使用攻擊手段的所有權,並會把相關資訊反饋給微軟、mozilla等瀏覽器提供商。在瀏覽器提供商發布相應漏洞補丁之前,大會主辦方和參賽者均不得對外公布這些漏洞的技術資訊。

微軟和mozilla派代表參觀了此次黑客大賽。微軟安全研究中心的高階研究員傑瑞·布萊恩特(jerry bryant)承認了維萊格登希爾所利用的漏洞。他說:「微軟知道了pwn2own黑客大賽中發現的ie瀏覽器漏洞。我們正在對此展開調查,並將採取適當措施來保護使用者。」

布萊恩特並未表示微軟何時會修復維萊格登希爾所發現的漏洞。微軟的下一次補丁發布時間為4月13日,但通常微軟修復漏洞的時間會比較長,因為僅測試時間就要達到30到60天。

查理·公尺勒表示,今年pwn2own黑客大賽所獲得的經驗非常簡單。「在pwn2own黑客大賽上你會看到,所有的漏洞仍然是存在於軟體方面,像dep和aslr等防護措施根本不管用。即便防護措施有提高,研究人員也會不斷找到漏洞。」

首屆FME模板開發者大賽獲獎名單

第一屆fme模板開發者大賽是面向全國fmeers舉辦的fme模板製作比賽,自截稿日期收到了各種主題的參賽作品。世紀安圖活動評委小組基於 模板可正確執行 的原則,綜合考慮模板 創新性 應用性 經濟性 以公平公正 為原則對所有作品進行評選,獲獎名單如下 領獎方式 獎品將在獲獎者所參加的fme world...

NASA確定阿特公尺斯月球艙徵文比賽獲獎者

美國國家航空航天局 nasa 已將三名學生確定為 artemis月球艙 徵文比賽獲獎者,他們對月球之旅開拓性設想具有創造性。程式設計客棧近14000名學生參加了比賽,每個人都在競爭大獎,即前往位於佛羅里達州的nasa甘迺迪航天中心,在那裡他們將見證artemis時代的首次發射。美國宇航局邀請學生設想...

全球黑客大賽,是否對Linux手下留情?

今年的全球 黑客大賽 3月 26 29日在加拿大 vancouver 市舉行,有 400多位黑客到會。這項活動在全球是第二次舉行,為此,事先經過了比較周密的 包括技術方案 準備。根據有關材料,我們知道,參賽的計算機所配置的作業系統共有三種 規格 版本 微軟的 vista ultimate sp1 蘋...