提起VxWorks可能有些朋友會感到陌生，VxWorks是一個運行在目標機上的高性能、可裁剪的嵌入式實時操作系統。該系統以其良好的可靠性和卓越的實時性被廣泛應用在通信、軍事、航空、航天等高精尖技術及實時性要求極高的領域中。

這些領域作為人類最高智慧的結晶，理應萬無一失。但震驚事情還是發生了， Istuary安全研究團隊的首席研究員Zhenhua 'Eric' Liu和該團隊IT安全研究員Yannick Formaggio發現了嚴重漏洞，他們繞過繞過了系統內存保護、并且在沒有適當授權時創建了一個root級別的賬戶。另外，兩位專家發現VxWorks操作系統內置FTP服務器會因另外一個漏洞發生環形緩沖區溢出問題，它在收到極高速度的惡意用戶名和密碼的時候會崩潰，但這只相當于對設備的網絡發起了DDoS攻擊。同時，兩位專家在一次快速網絡掃描，發現至少有十萬臺運行VxWorks的設備連接到了互聯網中。

如果說，設備接入互聯網后才出現了安全隱患，那沒有聯網的設備就可以保證其安全性呢？360公司獨角獸團隊的鄭玉偉在接受筆者采訪時談到，即使是沒有接入互聯網的設備理論上也有被攻克的可能，如果侵入到NASA系統的局域網中，就有可能侵入航天飛機的VxWorks系統，讓航天飛機失去控制，最智能、最頂尖的設備變成“傻瓜”。

可以肯定的是，以往黑客技術多在虛擬的信息世界中施展，但隨著智能硬件和物聯網成為科技發展的一種新趨勢，黑客的控制力也滲透到了這一領域。近年來網絡入侵事件猛增，這也警惕我們數據泄露是不可避免的。然而網絡安全又是一個十分特殊的領域，從業者需要熟知網絡安全的發展脈絡，從老的、靜態的威脅到新型的APT威脅都需要掌握，而能做到兼具見識廣度和技能深度的人才少之又少。所以我們需要一個技術交流平臺，在學習技術的同時，將攻擊手段和漏洞有約束的曝光，以免被地下黑客濫用。

還記得去年Syscan360特斯拉的破解挑戰賽么，前后吸引了眾多業界公司和互聯網安全愛好者的關注，并引發了公眾對新興只能產品安全性的高度重視。今年，Syscan再次攜手奇虎360合力舉辦，大會專注于前瞻性的技術探討，旨為中國、亞洲乃至世界上關注互聯網信息安全技術的行業同仁，搭建起一個兼具深度和廣度的溝通平臺。

據了解，在本屆的大會上，Istuary的兩位專家將帶來《攻擊VxWorks:從石器時代到星際穿越》的精彩演講，這個題目曾9月在倫敦引起安全領域的軒然大波，此次演講首次“登陸”中國。屆時，兩位專家將對VxWorks的安全性進行了深入的分析，包括其支持的網絡協議和OS安全機制，同時展示團隊開發的VxWorks評估工具，主要目的是通過在python中實現WdbRPC協議來提供有效的滲透測試。為了顯示它的效果，揭示一些在研究過程中發現的bug，對于眾多白帽子來說，這是一個最為難得的學習良機。 

在突然到來的萬物互聯時代，安全準備不足，全意識薄弱，這就需要全方位的協作，喚醒全社會的安全意識，共同關注萬物互聯的安全問題。本屆Syscan360吸引了更多安全極客的積極參與，幫助智能硬件產品發現產品缺陷和漏洞，從而進行完善。參與本屆Syscan360大會中，相信你會收獲更多精彩內容，等你參加https://www.syscan360.org/

1