جایزه 225 هزار دلاری
در هک Pwn2Own چهار مرورگر وب مردود شدند
رقابت Pwn2Own که چندی پیش در ونکور کانادا برگزار شد و طی برگزاری آن هکرها برای شناسایی نقض‌های امنیتی با یکدیگر به رقابت پرداختند، با شناسایی چهار نقص امنیتی توسط چهار داوطلب شرکت‌کننده به پایان رسید و در مجموع 317,500 دلار نصیب این چهار شرکت کننده کرد. در مجموع 21 ایراد مهم در سیستم‌عامل ویندوز، مرورگرهای اینترنتی، Adobe Flash و Adobe Reader شناسایی شدند که در مجموع 442,000 هزار دلار نصیب شرکت‌کنندگان در این مسابقه کرد.

shabake-mag.jpg

رویداد Pwn2Own همچون سال گذشته در ونکور کانادا برگزار شد. رقابتی که در آن هکرها و پژوهشگران امنیتی گردهم می‌آیند تا در مسابقه Pwn2Own تحت حمایت شرکت کنند. در مسابقه Pwn2Own افرادی موفق به کسب جایزه نقدی این رقابت می‌شوند که توانایی شناسایی اکسپلویت‌ها و اشکالات امنیتی موجود در مرورگرهای محبوب و نرم‌افزارهای پرکاربرد همچون Adobe Flash که در سطح وسیع مورد استفاده قرار می‌گیرند را داشته باشند.

امسال برای پژوهشگری به نام جونگ هون لی با نام مستعار lokidhardt سال سودآوری بود. به‌طوری‌که موفق شد برای شناسایی سه باگ 225 هزار دلار دریافت کند، باگ‌هایی که در مرورگرهای اینترنت‌اکسپلورر، کروم (هر دو نسخه بتا و رسمی) و سافاری شناسایی کرد. باگ شناسایی شده در مرورگر کروم سود‌آورتر از دو مرورگر دیگر بود و در مجموع 110 هزار دلار نصیب او کرد. او با استفاده از باگ امنیتی که در نسخه بتا مرورگر کروم شناسایی کرد، توانست تنها در مدت زمان دو دقیقه به یک سیستم نفوذ کند. او حمله خود را با سرریزبافر در مرورگر کروم آغاز کرد. این تکنیک حمله، به او این توانایی را داد تا مکانیزیم‌های دفاعی ضداکسپلویت همچون sandbox و ASLR (سرنام address space layout randomization ) را در هم شکند. هدفی که او در این حمله دنبال می‌کرد و با موفقیت به آن‌ها رسید، یک نشتی اطلاعات و دو درایور هسته مرکزی ویندوز (کرنل) بود. یک شاهکار فوق‌العاده که اجازه دسترسی و بهره‌برداری کامل یک سیستم را در اختیار او قرار داد. جونگ هونگ لی با این کارها موفق شد در مجموع بیشترین دریافتی را در این مسابقه از آن خود کند، اما موفق نشد رکورد بزرگترین دریافتی را در تاریخ Pwn2Own به اسم خود ثبت کند.

او در مجموع 75 هزار دلار برای باگ کروم، 25 هزار دلار اضافی برای ترفیع امتیازی (Privilege escalation) به سیستم (ترفیع امتیازی به فرآیندی گفته می‌شود که با هدف بهره‌برداری و سوءاستفاده از ایرادات نرم‌افزاری در یک برنامه یا سیستم‌عامل انجام می‌شود. این بهره‌برداری برای دسترسی به منابعی است که در شرایط عادی در دسترس کاربران یا نرم‌افزارهای کاربردی قرار ندارد.) و 10 هزار دلار از طرف گوگل برای هدف قرار دادن نسخه بتا کروم و در مجموع 110 هزار دلار دریافت کرد. Pwn2Own در یادداشتی که روز پنج‌شنبه منتشر ساخت، اعلام کرد جونگ هون لی تقریبا به ازای هر ثانیه 916 دلار کسب کرده است.

لی همچنین موفق به هک کردن اینترنت‌اکسپلورر 64 بیتی نسخه 11 با استفاده از تکنیک زمان بررسی بر زمان استفاده (time-of check)/(time of use) که به اختصار TOCK too نامیده می‌شود، شد که دسترسی به مجوزهای خواندن و نوشتن را امکان‌پذیر ساخت. برای دور زدن ویژگی دفاعی ویندوز نیز با تزریق کد جاوااسکریپت موفق به عبور از sandbox  شد. این هک برای او 65 هزار دلار به همراه آورد. لی همچنین به سراغ مرورگر سافاری شرکت اپل رفت که این هک برای او 50 هزار دلار دیگر به‌همراه داشت و در مجموع 225 هزار دلار از این مسابقه نصیب او کرد. این مسابقه همزمان با کنفرانس امنیتی CanSecWest برگزار شد.

در پایان این مسابقات همه باگ‌های شناسایی شده به طور محرمانه در اختیار سازندگان محصولات قرار گرفت. در سال‌های اخیر شناسایی باگ‌ها به این شیوه نزد شرکت‌های بزرگ بسیار محبوب شده است. زیرا ضعف‌ها،  قبل از آن‌که توسط هکرها برای حمله مورد استفاده قرار گیرند، از روش‌های قانونی شناسایی می شوند. امسال در مجموع نزدیک به 21 باگ کشف شد که پنج باگ در ارتباط با ویندوز، چهار باگ مربوط به اینترنت‌اکسپلورر نسخه 11، سه باگ در ارتباط با فایرفاکس، سه باگ در ارتباط با ادوبی ریدر، سه باگ در ارتباط با ادوبی فلش، دو باگ در ارتباط با سافاری و یک باگ در ارتباط با کروم بود. اما چه باگ‌هایی شرایط دریافت جایزه را داشتند؟ باگ‌هایی که اولا شناسایی نشده بودند و دوما با استفاده از آن‌ها به توان سیستم‌های دفاعی که برای ضداکسپلویت از آن‌ها استفاده می‌شود را درهم شکست.

ماهنامه شبکه را از کجا تهیه کنیم؟
ماهنامه شبکه را می‌توانید از کتابخانه‌های عمومی سراسر کشور و نیز از دکه‌های روزنامه‌فروشی تهیه نمائید.

ثبت اشتراک نسخه کاغذی ماهنامه شبکه     
ثبت اشتراک نسخه آنلاین

 

کتاب الکترونیک +Network راهنمای شبکه‌ها

  • برای دانلود تنها کتاب کامل ترجمه فارسی +Network  اینجا  کلیک کنید.

کتاب الکترونیک دوره مقدماتی آموزش پایتون

  • اگر قصد یادگیری برنامه‌نویسی را دارید ولی هیچ پیش‌زمینه‌ای ندارید اینجا کلیک کنید.

ایسوس

نظر شما چیست؟