神刀安全网

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

本文作者:李勤,雷锋网网络安全专栏作者,入错行的八卦爱好者。

4 月 5 日,雷锋网编辑要 360 安全战队队长、世界著名黑客 MJ 0011 (以下简称 MJ)拿着前不久在 Pwn2Own 2017 世界黑客大赛上的冠军奖杯拍个照。

MJ 转了转奖杯的齿轮说, 把它放在办公室里还能磨磨指甲。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

其实,一个月前, MJ 本以为会云淡风轻地去加拿大参加大赛,没想到等待他的是一场“坑爹”之旅。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

[MJ 很伤心,没想到经过一场高度紧张的黑客大赛后,他没有瘦下来]

高难度漏洞:厂商要过年

3 月11日,携带一揽子“神奇漏洞”的 MJ 和 360 安全战队队员抵达加拿大温哥华,准备参加 3 月 15 日到 3 月 17 日举办的 Pwn2Own 2017 世界黑客大赛。

Pwn2Own 是世界著名、奖金丰厚的黑客大赛,由美国五角大楼网络安全服务商、 TippingPoint 的项目组 ZDI(Zero Day Initiative)主办,谷歌、微软、苹果、Adobe 等互联网和软件巨头都对比赛提供支持。

Pwn2Own 大赛从2007年起开始举办,难度一届比一届高。 今年是第十周年, MJ 认为,拿下此次大赛颇有意义,与MJ 有相同想法的还有参加比赛的 10 支战队,包括 amuel grob and nicolas baumstark、Ether:玄武实验室、长亭安全团队、ralf philipp weinmann、Sniper:科恩实验室+电脑管家团队、Richard Zhu、Lance:湛卢实验室、Moritz Jodeit,Blue Frost Security、Shield:科恩实验室+电脑管家团队、

Google Chrome、Microsoft IE 、Adobe Reader、Adobe Flash、Mozilla Firefox ……是此次大赛的攻克目标。Pwn2Own 要求,攻击所利用的漏洞必须是未知、未公布、未向供应商提交过的。漏洞不能重复利用,远程攻击必须要排除操作背后的人为干扰(如浏览恶意内容),必须出现在用户正常的会话中,不会出现重启或者下线/登录的情况。

也就是说,攻击者的漏洞是真正的“零日漏洞”,基本靠一个链接“发动攻击”,“用户”点击链接后,攻击者不再“动作”,攻击要一气呵成地进行。而且,只有三次攻击机会。

2017年 Pwn2Own 共设置 15 个项目,根据比赛难度的不同,每一项设置了相应的积分和奖金。在 3 天所有赛程结束后,积分最高的参赛团队,将赢得“Master of Pwn”(破解大师)世界冠军称号,并获得65000个ZDI积分(约合25000美元)的额外奖励。

在这样的高难度大赛里,难怪 ZDI 在其官网上大呼,虽然 2017 年的这次 Pwn2Own 准备了 100 多万美元的奖金,但厂商也欢欣鼓舞、严阵以待—— 这可能是除了自家平时正常打补丁外,要补高漏洞质量最多的日子了!

嗯,有点像过年的感觉。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

焦虑:重头戏“连环攻击”可能要失败

来到温哥华的第 一天, MJ 和队员们 神清气爽、信心满满。

MJ 压力不大是因为——这是 MJ 第三次参加 Pwn2Own 大赛,此前他也是各类顶级黑客大赛的常客,对一个资深黑客而言,只要平时功夫深,“铁杵也能磨成针”,更何况,赛前战队做了详细的战略部署,并准备了应对比赛的超级漏洞。

Pwn2Own 大赛要持续三天,对单个黑客而言,如果每个项目都要参加,三天的强度基本没人能承受,所以,团队作战是Pwn2Own 大赛常见的参赛方式。然而,即使是团队作战,强度依然不小。一般,报名单个项目的居多。

参加此次大赛的 360 安全战队由从 360Vulcan Team、360代码卫士和虚拟化研究团队360Marvel Team抽调的 10 名黑客组成,包括名声在外的 360Vulcan Team 安全研究员 YukiChen (古河)、虚拟化漏洞挖掘专家唐青昊等人, MJ 担任队长。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

360 安全战队瞄准了8个参赛项目,包括 Adobe Reader、Adobe Flash+系统提权、Apple mac OS、Apple Safari +Apple mac OS、Microsoft Windows 10 、Microsoft Edge +系统提权+虚拟机逃逸、Firefox、Vmware,准备大干一场。

但是, MJ 没有想到,这次比赛他们犯下了两个“大”错误,让他们的“冠军”来得没有像以前那样顺利,这也是 MJ 与雷锋网编辑对谈几个小时的过程中,他一直心心念念的两点。

第一个失误是,这支有老牌黑客坐镇的队伍这次低估了“连环攻击”的难度,赛前缺少环境调试。

所谓连环攻击,是指今年 Pwn2Own 除了独立项目,又加了一项,如果打完浏览器,在全部攻击完成后,还能再进行虚拟逃逸,就另行加分 。

比如,在攻击 Edge 后,再进行系统提权,最后如果来一场华丽的虚拟机逃逸,这就是一场连过三关的连环攻击。 但是,连环攻击分数高,失败的风险也相当高。

这是一场华丽的冒险。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

攻击一个项目时,如果成功率是 90%,在这个项目里要攻击三个,叠加后的成功率可能就降低了。而且,它的风险比单纯攻击虚拟机风险更大。比如,就算前两关成功闯过,一旦最后关头演示失败,整个攻击都算失败,攻击项目所累计的积分点和所有奖金都会失去。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

如果不进行连环攻击,只进行前两项攻击,不仅成功率高,成功之后积分点和奖金双双都能抱回家。

To be or not to be,that is a question.

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

【哈姆雷特电影剧照】

MJ 虽然不是执意复仇的哈姆雷特,但在高风险面前也异常执着,连环攻击难,好,就要挑战。

作为一名世界顶尖的超级黑客,MJ 曾傲视诸多对手。虽然,他和队员都很看重比赛成果,就是奔着冠军去的,但是,就算有比较大的风险,从不畏惧、不断挑战的“hacker”精神深深印刻在 MJ  的心里。

做十拿九稳的事没什么意义。

不过,360Vulcan Team、360代码卫士和虚拟化研究团队360Marvel Team 虽然都在北京,但平时不在一栋楼办公。除了参加黑客大赛,大家平日还有手头工作,很难凑到一块调程序。于是,大伙决定,就在赛前,也就是从 11 号到 14 号这几天,在加拿大一起碰头“搞一搞”。

没想到,碰头的第一天,他们就发现了问题—— 一般进行一次攻击时,对系统环境会造成很多影响,导致整个系统环境不那么单纯了。如果攻击质量不够高,可能接下来系统就会崩溃,后面的攻击根本无法进行。

“比如,我们原本准备的逃逸虚拟机,独立跑的话,是90%以上的成功率,如果配合浏览器,不进行一些代码优化,成功率就低很多,因为对整个环境有很多影响。”MJ 说。

不配合不知道,一配合吓一跳。 他们之前低估了连环攻击对环境的影响——单独攻击的时候,各自的成功率都能到达 90% 以上,三次攻击接起来时,成功率直线下降到令人心惊胆战的 30%。

也就是说,如果按照这个情形来打连环攻击,呵呵,三次机会可能只有一次成功。

一直十分淡定的 MJ 突然有了前所未有的紧张感。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

厂商和选手赛跑:赛前狂补漏洞

以前,MJ 领队参加国外一些牛气哄哄的黑客大赛,还能先逛荡几天,给亲戚朋友买点什么,这次,整个队伍窝在古河的只有一张桌子的宾馆房间里紧张调试,MJ 和队友们在房间内像打仗一般和程序较劲,和成功率较劲。

他们甚至来不及出去吃饭,让服务员把餐送到了房间,调试间隙扒一口饭。

内忧同时,外患四起。

Pwn2Own 大赛还有一个看点是——厂商可能会在赛前打补丁,你辛辛苦苦准备为比赛准备的漏洞说不定就被补了,拼的就是刺激啊!

MJ 告诉雷锋网,比赛之前,他准备了 FireFox、Safari 以及 Edge 的三个“神洞”——很难发现的偏僻漏洞,没想到,就在赛前阵亡了!

最刺激的是,这次官方补洞的日子就在赛前一两天。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

有的是“命运的使然”——微软的补丁日一般在每月的第二个星期二,3 月的第二个星期二就是 3 月 14日,比赛就在15日。

我们当时认为,这个漏洞是不太可能被补的一个洞,因为我们在去年8月就发现了这个漏洞,当时微软在 10 月补了一次,但是没补好。我们想,既然都补过一次了,而且微软补漏洞的质量一般非常高,应该这个没发现的洞就逃过一劫了, 不太可能被补了,当时还是比较有信心的。结果,在补丁日之前把这个补丁给补了。我们不得不换了另外一套替补的漏洞,当然,备选的漏洞也是比较神奇的一个漏洞。

随后, Firefox  和  Safari 的漏洞也被补了。

有时,是“狡诈”的厂商善于利用规则——“ Flash 的漏洞也是一个非常神奇的漏洞,当时我们认为不太可能被补。Flash 的安全人员 虽然不知道漏洞在哪儿?但是他觉得这个地方有漏洞,故意设置不释放内存,内存一直在那儿占着,我们这个漏洞虽然没有被修补掉,但没法利用了,只好就换了一套新的漏洞。

有时,甚至是厂商故意挑战参赛选手的情绪——“ Vmware一开始我们准备了三套漏洞,一套漏洞用于打独立项目,然后,另外两个项目再用两套漏洞,但是,Vmware 在10 号的时候发了一个补丁,没补我们的漏洞,当时我们觉得估计这个事就过去了,结果它在14号的晚上,我们都看完漏洞,觉得终于可以休息一会儿,然后第二天早上去打比赛了,结果那天晚上,突然它又发了一个更新,把我们准备打独立项目的漏洞给补了。”

厂商很任性,能不给的钱和分绝对不会给你。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

受到影响不只是 360 安全战队,据雷锋网 (公众号:雷锋网) 了解,厂商“任性”地围追堵截后,一些参赛队伍的项目没法报了,中国其他参赛队伍也受到了冲击。

不幸的是,Firefox 无备用漏洞, MJ 所在的战队只好放弃了这个项目。幸运的是,  Safari 以及 Edge 还有“替补”,虽然独立项目的漏洞没了,但涉及“连环攻击”和“附加分选项”的这些项目的漏洞还在。

一时间,8 个项目只剩下 6 个可以打: Adobe Reader、Adobe Flash+系统提权、Apple mac OS、Apple Safari +Apple mac OS、Microsoft Windows 10 、Microsoft Edge +系统提权+虚拟机逃。

雪上加霜:报名失误+规则变化+抽签不利

同时,MJ 犯下了第二个失误。

就在 3 月 14 日下午, MJ 去签署参赛项目确认书时,在单独的 Vmware 逃逸项目没有报名,只报名了连环项目。 就在签字前的那一刹那,史上最喜怒不形于色的安全研究员古河还朝着 MJ 使了使眼色。MJ 打了个冷颤,表示我对你没有兴趣,没有接收到这个神秘的信息。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

我们当时只有两个能打 VMware 的洞,所以就报了这个附加项目(即连环攻击),没有报独立的 Vmware 项目 ,其实可以再报一个独立的。   MJ 事后回忆, 古河当时是要自己也在单独项目那里打勾——这样,可以给连环项目减轻压力,如果连环项目失败, VMware 单独项目的分和奖金还能拿回来!”

最可怕的是,360 安全战队这次抽签运气不佳,虽然看上去每天都是第一个出场,但是在报名的  6 个项目中,只有两个项目抽到了第一个打,有两个项目抽到倒数第二,分数最重、打的人最多的 Edge 项目最惨惨,抽到第七名(倒数第二)。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

【各战队比赛顺序】

更令他懊恼的是,360 安全战队在 Edge 项目上打的是连环项目( Edge +系统提权+VMware 逃逸),难度十分高,而参加比赛的人很多人选择打单独的浏览器项目。刚好今年的比赛规则发生了变化,在浏览器这一大类中,只有第一个打下来的人能拿全奖,其他打下来的人只能拿半奖——虽然积分点不受到影响,十分富有、没有从比赛中分过一毛钱奖金的 MJ 不高兴了,“我对奖金也很看重啊,我们还有兄弟可以分啊!”

一着不慎,他们战战兢兢地怕撞洞,又担心连环项目出岔子,“重头大戏”无奈地因为抽签留到了第三天,也就是比赛的最后一天。

Mac提权项目 时,还发生了一件匪夷所思的事——队员从主办方处拿到全新的   Apple 电脑时,发动第一次攻击,发现攻击无法进行。

本来就深受“放弃项目”阴霾的 MJ 心里咯噔了一下。 

“一定是发生了别的问题。” MJ 找到主办方,两方一起检查了电脑,发现主办方搞出了一个大乌龙。

“主办方给错了系统环境,他 买了 8 台 16G 的苹果电脑,但官方居然给了他两台 8G 的。他说回去要找苹果电脑算帐。 主办方承认了自己的失误,但坚决不改,换了电脑后,只给队员剩下的两次机会继续打。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

“这事我 记得比较清楚,我还跟队员说,我们上场之前先查系统环境,然后一上场,我当时脑子都蒙了,直接就忘了,上来就打。这也说明,我们真的有点紧张。 MJ 说。

在这种紧张的阴霾中,前两天除了在其他项目打比赛,MJ 就是和队员一起抽出时间调初始成功率只有 30% 的连环项目的程序,另外,还得时不时地绕到复核项目的评委那,小心翼翼地问一句:“我们没被撞吧?”

但是,从另外一个角度看,抽签不利也给他们争取了两天的调试时间,到第三天比赛前,唐青昊开心地跟 MJ 说,终于把成功率控制在 90%以上,测试了三次,都是这样。

MJ 暂时松了口气,但不敢彻底放松。

保持到第三天的紧张感

拖了三天的战线, MJ 和队员又紧张又疲惫。

他们连着熬了几个通宵,白天还打着比赛。

终于,第三天来了。360安全团队小心翼翼地给出了一个攻击链接,点击,等待。

对攻击项目进行 Review 的工作人员确定了攻击有效后,打开了大门,与MJ 握了握手,轻轻告诉他:Edge +系统提权+VMware 逃逸成功。

这也是全场唯一一个连环攻击成功的项目。

现场其他人还在紧张地比赛,他抑制住内心的狂喜,与队员一起轻轻地走了出去。

他们没有拥抱,没有欢呼,但接受了大家的掌声——360 安全战队拿下了分数最高的连环攻击项目,总积分排名第一, MJ 穿上了那件与自己身材异常匹配的冠军皮夹克,和主办方合影。

让 MJ 印象深刻的是,遇到什么事都波澜不惊的古河看着 MJ 摆出了人生第一个最激烈的手势——他内心激动,嘴角微微抽动,双手握拳甩动,说了声“Yeah”。

他们一起,以黑客的名义,不仅拿下了这场艰难的比赛,还践行了打死不放弃的理想。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

虽然雷锋网没有拍到古河的现场照,但是按照 MJ 的描述,我们派出了编辑史中还原了古河的“开心”。

附:Pwn2Own 2017 总战况汇总列表。

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

雷锋网原创文章,未经授权禁止转载。详情见 转载须知

专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 专访Pwn2Own 2017 世界黑客大赛冠军队长MJ:这是一场出乎我意料的“坑爹”之旅

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址