北京時(shí)間5月13日，在香港舉辦的2017國(guó)際安全極客大賽GeekPwn年中賽上，來(lái)自俄羅斯的選手George Nosenko、韓國(guó)的學(xué)生選手“crixer”與中國(guó)選手孫磊、曲海鵬針對(duì)物聯(lián)網(wǎng)設(shè)備的安全漏洞進(jìn)行了展示。中、俄、韓安全極客同臺(tái)競(jìng)技，他們擦出了哪些“火花”?

一枚堪比CIA軍火庫(kù)中武器的重磅炸彈?

本次大賽現(xiàn)場(chǎng)，來(lái)自俄羅斯圣彼得堡的George Nosenko僅憑數(shù)秒就攻破了Cisco Catalyst 2960交換機(jī)系統(tǒng)的最高權(quán)限，修改最高權(quán)限用戶密碼，將現(xiàn)場(chǎng)觀眾設(shè)置的最高權(quán)限密碼“GeekPwn”修改為最簡(jiǎn)單的“1234567890”，并將某個(gè)端口流量完全同步到另一個(gè)端口，從而監(jiān)控其他用戶。

據(jù)了解， George Nosenko曾為SAP、HP、 Oracle、Cisco、Avast、BitDefender報(bào)告漏洞，2013年獲得有 “黑客奧斯卡”之稱的Pwnie獎(jiǎng)提名。利用系統(tǒng)中存在緩沖區(qū)溢出漏洞，選手可以在目標(biāo)設(shè)備上執(zhí)行任意代碼，獲得目標(biāo)設(shè)備的完全控制權(quán)。George Nosenko也憑借該項(xiàng)目獲得GeekPwn2017年中賽最佳技術(shù)獎(jiǎng)。

目前，互聯(lián)網(wǎng)上近80%的信息流量都經(jīng)由思科產(chǎn)品傳遞。研究者掃描發(fā)現(xiàn)全球有252,000臺(tái)該設(shè)備暴露在網(wǎng)上，大約800萬(wàn)缺陷設(shè)備端口開(kāi)放，漏洞會(huì)威脅全球骨干網(wǎng)絡(luò)安全。

韓國(guó)參加GeekPwn大賽第一人——“crixer”

另一位挑戰(zhàn)路由器的外國(guó)選手“crixer”，利用設(shè)備中的內(nèi)存破壞漏洞，遠(yuǎn)程獲取了網(wǎng)件路由器的root控制權(quán)限，同時(shí)進(jìn)行DNS劫持攻擊，和DOS(拒絕服務(wù))攻擊?！癱rixer”表示，被劫持的路由器可以形成僵尸網(wǎng)絡(luò)，發(fā)起大規(guī)模的DDoS攻擊，其破壞力難以估計(jì)。而2016年導(dǎo)致美國(guó)東部網(wǎng)絡(luò)大面積癱瘓的元兇正是僵尸網(wǎng)絡(luò)發(fā)起的DDoS攻擊。

“crixer”是首位參加GeekPwn的韓國(guó)選手。眾所周知，韓國(guó)黑客的技術(shù)水平在全球位列前茅。在培養(yǎng)網(wǎng)絡(luò)安全人才方面，更是不留余力。本次，“crixer”參加GeekPwn，也為中韓極客打開(kāi)了一扇交流、切磋的大門(mén)。

中國(guó)白帽黑客炫技，十款路由器悉數(shù)淪陷

來(lái)自海洋大學(xué)信息安全實(shí)驗(yàn)室的成員將目標(biāo)鎖定在十款主流智能路由器上，他們利用設(shè)備中內(nèi)存破壞漏洞直接遠(yuǎn)程獲得包括網(wǎng)件路由器、騰達(dá)路由器、LB-link、Dlink、華碩路由器等十款路由器的最高控制權(quán)限，同時(shí)可以接管、控制整個(gè)家庭的網(wǎng)絡(luò)與流量。選手表示，路由器漏洞可能會(huì)導(dǎo)致黑客入侵或劫持，造成個(gè)人隱私泄露、訪問(wèn)頁(yè)面被替換等等危害。

在此次GeekPwn年中賽上，來(lái)自國(guó)內(nèi)、外的頂尖安全極客選手還在在現(xiàn)場(chǎng)展示了與兒童手表親密對(duì)話、無(wú)網(wǎng)絡(luò)狀態(tài)下入侵智能家居等多個(gè)前所未見(jiàn)的破解項(xiàng)目，覆蓋智能出行、智能家居、智能手機(jī)、智能手表等幾乎智能生活的所有領(lǐng)域，根據(jù)GeekPwn負(fù)責(zé)任的漏洞披露規(guī)則，組委會(huì)在賽后會(huì)將漏洞提交給廠商，并協(xié)助修復(fù)漏洞。

GeekPwn由國(guó)內(nèi)頂尖信息安全團(tuán)隊(duì)碁震(KEEN)于2014年發(fā)起并主辦，與Pwn2Own、Defcon并稱為世界三大黑客賽事，作為國(guó)際人才交流平臺(tái)，也始終秉承的“奇思妙想、超越自我、挑戰(zhàn)世界”的黑客精神，鼓勵(lì)更多白帽黑客加入。