破與被破：2018年黑帽大會“破你獎”一覽
每年夏天的黑帽大會，安全專家都會評選網絡安全研究和信息安全界的各種成就和失敗，評選出年度網絡安全最佳與最差，這也就是有著網絡攻防領域奧斯卡獎之稱的：Pwnie Awards，被人們巧妙的稱為“破你獎”。
2018年6月起，安全人員就針對過去一年里披露的各種漏洞開始提名。被提名名單在8月公布，勝者由一組安全研究員組成的評審委員會評出。
“破你獎”獎項林林總總，從“最佳提權漏洞”到“炒作最甚漏洞”到“最差供應商響應”都有，還有授予為安全行業做出杰出研究與貢獻人士的終身成就獎。
今年的非正式頒獎典禮由一群受人尊敬且幽默的安全專家主持，參加者眾多，歡聲笑語滿堂。有些幸運獲獎者正好就在現場，有些則沒有，比如邁克菲公司創始人約翰·邁克菲。
“破你獎”專家組成員之一，MedSec首席執行官 Justine Bone 開玩笑說：“我們認為這是對付當下安全社區犬儒主義的最佳解毒劑了。”
1. 最佳服務器端漏洞
作為主持人的安全研究員 Chris Valasek 一開場就說：“服務器端漏洞一直是我心里的朱砂痣，我總覺得網絡黑客行為的奧義就在服務器端漏洞。”
最佳服務器端漏洞授予發現或利用最先進最有趣的服務器端漏洞的研究人員，無需用戶互動即可實現遠程訪問的任何軟件都算在內。
今年該獎項歸屬英特爾AMT遠程漏洞，獲獎者是Embedi 的 Maksim Malyutin。
| 英特爾沒能理解自己芯片硬件層上一段關鍵身份驗證代碼中的strncmp函數是怎么運作的，雖然整個安全社區都告訴他們說用這個函數是個糟糕的主意，但他們還是靠著壟斷地位和基本經濟學原理這么干了。 |
其他被提名的漏洞有： 開源郵件服務器Exim單字節溢出(Off-by-one)遠程代碼執行漏洞(RCE) (CVE-2018-6789)、Drupalmageddon 2 和 3 (CVE-2018-7602 和 CVE-2018-7600)、Frag Grenade，以及惠普遠程管理功能iLO和戴爾遠程訪問管理卡iDRAC的多個RCE。
2. 最佳客戶端漏洞
最佳客戶端漏洞獎授予發現并利用最先進最有趣客戶端漏洞的研究員。
今年 Rob Miller 和 G. Geshev 因“圣誕老人的12個邏輯漏洞禮物”而獲此獎項。
題為《發現鏈：打造邏輯漏洞利用鏈》的報告中，兩位研究人員描述了自己如何利用來自6個應用程序的11個漏洞組成的漏洞鏈。被利用的漏洞存在于三星、Chrome和安卓開源項目的組件中。這已經是Pwn2Own史上最長的漏洞利用鏈了，但兩位研究人員又扔了一個遠程拒絕服務漏洞進去，湊成了一打漏洞。
兩位研究人員均供職今年早些時候剛被F-Secure收購的 MWR Infosecurity。
其他被提名的漏洞有：SOAP Dropper、CVE-2017-11882、DynoRoot1111 (CVE-2018-1111)、CVE-2017-5116和DNS客戶端遠程代碼執行漏洞CVE-2017-11779。
3. 最佳提權漏洞
最佳提權漏洞授予發現或利用了技術最復雜最有趣提權漏洞的研究人員，包括本地操作系統提權、操作系統沙箱逃逸和虛擬機客戶突破漏洞。
熔斷和幽靈漏洞摘得最佳提權漏洞頭銜，貢獻者是 Moritz Lipp、Michael Schwarz、Daniel Gruss、Thomas Prescher、Werner Haas、Stefan Mangard、Paul Kocher、Daniel Genkin、Yuval Yarom、Mike Hamburg、Jann Horn 和 Anders Fogh。
毫不意外今年被提名的是熔斷和幽靈漏洞。這兩個關鍵處理器漏洞給2018年開了個相當糟糕的頭，改變了漏洞披露游戲規則，代表著需要更多有效安全實踐的新一類威脅。業界專家表示我們在未來幾年中都還將持續看到這種效應的延續。
其他被提名的漏洞有： waitid (CVE-2017-14954、CVE-2017-5123)、RAMPAGE、backboardd Double free()、Holey Beep。
4. 最佳密碼攻擊
Bleichenbacher的Oracle威脅回歸 (ROBOT)贏得了最佳密碼攻擊"破你"獎。該獎項授予發現了對現實世界系統、算法或協議影響最大的密碼攻擊的研究人員。獲獎研究人員是被"破你"專家們昵稱為“Bleichenbloodbath”的 Hanno Böck、Juraj Somorovsky 和 Craig Young。
| 我們試了試20年之久的攻擊能否繼續奏效，Web服務器是否還存在 Daniel Bleichenbacher 在1998年發現的 RSA Padding Oracle 攻擊。 |
結果顯示，情況依然如Hanno所料想的。ROBOT——19歲高齡的漏洞回歸，能讓攻擊者執行RSA解密和用TLS服務器的私鑰來簽署操作。
只要做些小改動，該高齡攻擊就能繼續針對很多現代HTTPS主機下手。該團隊發現了很多供應商都可能無法幸免，包括Citrix、思科和F5。流行網站，比如Facebook和PayPal，以及Alexa上排名前100網站中的27個域名，也未能幸免。
其他被提名的加密攻擊有：用滲漏信道破解SMIME和OpenPGP電子郵件加密、Coppersmith攻擊的回歸：RSA模量實用因數分解、IOTA Curl-P、密鑰重安裝攻擊：強制臨時重用破解WPA2。
5. 最具創新性研究
幽靈/熔斷被授予的第二個"破你"獎項。獲獎者是將該最有趣最具創新性的研究以演講、論文、工具甚至郵件列表形式發布的同一支團隊。
專家預測，熔斷和幽靈的發現可能會揭開微處理器漏洞涌出的創口。芯片級漏洞不僅存在，可供探索的空間還很大，研究人員將繼續圍獵此類漏洞。今年早些時候首次曝出幽靈漏洞以來，陸續又有幾個變種被研究人員發現了。
其他被提名的還有：Throwhammer、Smashing-Smart-Contracts、TLBleed、GrandPwningUnit/GLitch。
6. 最差供應商響應
Bitfi被塞給了這個誰都不想要的"破你"獎項，因為他們以最引人注目的方式錯誤地處理了安全漏洞。
2018年7月，約翰·邁克菲放出10萬美元賞金，邀人破解他所謂“世界上首個黑不了的設備”——Bitfi錢包。之后不久，Bitfi將賞金增加到25萬美元。重賞之下勇夫頻現，據說1周之內就有人拿到了該設備的root權限，好幾個人都破解了該設備并宣稱這錢包根本沒有任何硬件安全機制，甚至連防篡改都沒有。
但是Bitfi和邁克菲辯稱，拿到root權限不等于黑掉了設備，只有能拿走里面的加密貨幣才算。研究人員紛紛鄙視這一漏洞獎勵，稱根本就是騙局。而邁克菲之后在視頻中說，他不過是想宣傳Bitfi。
其他被提名的還有：ThinkRace/Trackmageddon、布達佩斯交通管理局 (BKK)、T-Mobile Austria、Yubico。
7. 炒作最甚漏洞
在網絡和或媒體上引發大肆炒作以致推高漏洞評級，但最終卻證明根本無法實際利用的漏洞，就能獲得該"破你"獎。0day.marketing發現的 Holey Beep (CVE-2018-0492) 獲得了該獎項。
作為提權漏洞，Holey Beep 僅影響到1.86%的互聯網用戶，但卻有自己的漏洞描述頁面，被"破你"人士看作是對“品牌漏洞的攻擊”，比"破你"獎本身的帖子還有趣。
其他被提名的還有：Efail (CVE-2017-17689)、熔斷和幽靈(CVE-2017-5715)、Zip Slip (CVE-2018-1002204)、Zipperdown。
8. 終身成就獎
波蘭安全專家、白帽子黑客、前谷歌安全工程總監 Michał Zalewski 獲此殊榮。他寫的《線上沉默》被"破你"評審之一認為是黑客意義的最佳體現。當然，為Michal帶來該榮譽的絕不僅僅只是這一本書，頒獎典禮上長久的起立鼓掌很能說明問題。
Michal是安全社區的高產貢獻者，數十年來以他獨特的方式為安全界提供工具和資源。他開發了面向安全的模糊測試器 American Fuzzy Lop (AFL)，該測試器曾被DARPA網絡挑戰賽決賽用作底層引擎。他還做出了p0f工具，利用被動流量指紋機制檢測TCP/IP通信方。
【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
