2017 年 7 月22- 27 日,全球矚目的Black Hat 2017 在美國拉斯維加斯盛大舉行,作為信息安適領(lǐng)域的頂級盛事,從黑客大咖到全球頂尖安適企業(yè)都將使出他們的渾身解數(shù),來展示最新的技術(shù)研究成果。所以,每年Black Hat都會帶來許多聞所未聞的安適攻防技術(shù)。值得關(guān)注的是,在Black Hat2015 上因分享 “新型SQL注入檢測與防御引擎SQLChop”而獲得全球安適專家一致認(rèn)可的新銳安適企業(yè)長亭科技,再次現(xiàn)身Black Hat2017 分享其最新技術(shù)發(fā)現(xiàn)成果,接下來讓我們一探究竟。
據(jù)悉,本年長亭科技的議題選用一個(gè)具有中國文化含義的表達(dá)——many birds one stone,“一石多鳥:利用單個(gè)SQLite漏洞破解多個(gè)軟件”,是一個(gè)與SQL內(nèi)存破壞漏洞相關(guān)的話題。
圖1:通過80%篩選率,長亭科技技術(shù)議題入選BlackHat
圖2:長亭科技中選議題及內(nèi)容
SQLite作為嵌入式Database軟件,廣泛用于應(yīng)用軟件中的當(dāng)?shù)?客戶端存儲,如Web瀏覽器和APP移動(dòng)應(yīng)用程序。SQLite中的內(nèi)存損壞錯(cuò)誤通常不被視為安適問題,因?yàn)槿藗冋J(rèn)為它不成能被利用。長亭安適研究實(shí)驗(yàn)室經(jīng)過一段時(shí)間的研究發(fā)現(xiàn),利用SQL的另一種攻擊思路——基于內(nèi)存破壞的SQL攻擊,并經(jīng)過四個(gè)維度驗(yàn)證:基于SQL內(nèi)存破壞漏洞攻擊,危害非常大!
基于SQL內(nèi)存破壞漏洞進(jìn)行攻擊,可能造成:單一漏洞可以同時(shí)破解掉最常見的Safari、Chrome、Opera等瀏覽器,以及,你手機(jī)上最常出現(xiàn)的多種APP。這些攻擊可以造成大范圍的用戶信息泄露,不但局限于網(wǎng)站上填寫的姓名電話等用戶基礎(chǔ)信息,更包孕了支付軟件中的銀行卡等敏感信息,一旦被意圖不軌者掌握并利用,后果非常嚴(yán)重。針對應(yīng)用層的攻擊頻次比年增長,攻擊方式更加多元,而越來越多企業(yè)的業(yè)務(wù)又依靠互聯(lián)網(wǎng)來實(shí)現(xiàn),防止應(yīng)用層安適失守成為企業(yè)不成回避的問題。
本年 3 月,長亭安適研究實(shí)驗(yàn)室在Pwn2Own角逐上首次使用了這種技巧,并在Black Hat USA 2017 大會上將技術(shù)公開分享,以實(shí)際的內(nèi)存損壞案例展示攻擊危險(xiǎn)。長亭科技的這個(gè)研究發(fā)現(xiàn),為企業(yè)的安適防護(hù)提供了新思路,及時(shí)制止黑客攻擊造成的損失。目前,,長亭已經(jīng)將相關(guān)漏洞提供給了對應(yīng)廠商,均已及時(shí)得到修復(fù)。
兩年前的Black Hat2015 大會上,長亭科技就曾受邀Black Hat分享SQL注入攻擊的相關(guān)研究發(fā)現(xiàn)——“無規(guī)則SQL注入攻擊檢測與防御引擎”;除了演講,長亭科技還將技術(shù)研究成果送上了Blackhat的展示舞臺軍械庫。ARSRNAL上曾出現(xiàn)過不少優(yōu)秀的工具,有一些很多年前的工具甚至在現(xiàn)在仍然無法被超越,而這個(gè)獲得全球頂級技術(shù)專家一致認(rèn)可的研究成果,正是長亭雷池(SafeLine)下一代Web應(yīng)用防火墻的技術(shù)雛形。
圖3:想體驗(yàn)這款SQLChop進(jìn)階版,請移步https://sqlchop.chaitin.cn
此外,還需要提及的是,在Black Hat2017 上長亭科技兩人獲得Pwnie Awards兩個(gè)獎(jiǎng)項(xiàng)提名。公開資料顯示有白帽黑客奧斯卡之稱的Pwnie Awards獎(jiǎng)是BlackHat上的保存節(jié)目,專為有重大和突出研究成果的信息安適工作者設(shè)立,對于全球范圍內(nèi)的信息安適工作者來說,獲得Pwnie Awards獎(jiǎng)提名是其職業(yè)生涯中極為榮耀的一刻。
圖5:長亭科技兩人獲得Pwine Awards兩大獎(jiǎng)項(xiàng)提名
被提名和得獎(jiǎng)都是全球安適業(yè)界最高級別榮譽(yù)的象征,這也意味著長亭科技的兩位被提名者的研究成果不但要有實(shí)實(shí)在在的影響力,而且還要具備前瞻性,能夠?yàn)榘策m行業(yè)的未來發(fā)展產(chǎn)生深入影響。
標(biāo)簽:朔州 安順 哈密 白銀 甘孜 濮陽 大興安嶺 烏海
巨人網(wǎng)絡(luò)通訊聲明:本文標(biāo)題《長亭科技閃耀Black Hat2017 “一石多鳥”擊潰全線瀏覽器》,本文關(guān)鍵詞 長亭,科技,閃耀,Black,Hat2017,;如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問題,煩請?zhí)峁┫嚓P(guān)信息告之我們,我們將及時(shí)溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò),涉及言論、版權(quán)與本站無關(guān)。