Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Pwn(2Own|ium) 2014

2014.01.31. 11:39 | buherator | Szólj hozzá!

Idén tavasszal is megrendezésre kerülnek a kliens-oldali exploitok Grand Prix-jai, a Pwn2Own és a Pwnium.

Pwn2Own 2014

A nagyobb hagyománnyal bíró, a kliens-oldali exploit mitigációk zászlóshajóinak számító webböngészőket célba vevő Pwn2Own összedíjazása idén majdnem 650.000 dollár, a legdrágább - vagyis leginkább védett(nek vélt) - célpontok idén is a Google Chrome és az Internet Explorer lesznek, 64 bites Windows 8.1-en. Az új operációsrendszerben a sandboxinra eddig is használt Mandatory Integrity Control, valamint a "szokásos" ASLR és DEP mellett újabb megerősítéseket kapott a heap manager, így a heap metaadatok manipulálása, illetve a heap spraying még nehezebbé vált - utóbbi faktorban természetesen a 64 bites címtér is  nehezítést jelent.

A fenti böngészők megdöntéséért 100.000 dollár üti a szerencsések bitbűvészek markát - a szerencsére a memória randomizáció mellett a sorsolásos rendszer miatt is szükség lesz, a versenyzők próbálkozási sorrendjét ugyanis véletlenszerűen döntik el, és csak az első sikeres próbálkozó részesül díjazásban. Hogy ezért a pénzért milyen akadályokon kell átverekednie magát egy hackernek, arról egy jó összefoglalót olvashattok itt Ivan Fratic jóvoltából.

A többi vcélpont közül talán meglepő módon az Adobe Reader és Flash böngészőkiegészítők érnek a legtöbbet (75.000 dollár), jelezve, hogy a jelentős fuzz tesztelés és a kiegészítők védett módba szorítására tett erőfeszítések érdemben növelték az egykor hírhedt szoftverek biztonsági szintjét. Ez után következik a Safari + OS X kombó (65.000) majd a Firefox +Windows 8.1 (50.000) végül a Java (30.000), utóbbi beépülő esetén a click-to-play kijátszása is elvárt. 

Végül, de nem utolsó sorban idén megjelent egy új kategória, az Unikornis, melyben 150.000 dolláros fődíjjal jutalmazzák azt, akinek sikerül egy EMET-tel védett böngésző sandboxból kiugrania kizárólag böngészőt érintő hibák kihasználásával, majd ez után közepes integritású felhasználói folyamatból SYSTEM-re emelnie a jogkörét egy operációsrendszer hibát kihasználva.

Pwnium 2014

A Pwnium a Google saját versenye (a Pwn2Own-ban ők fizetik a költségek negyedét, a maradék a HP/ZDI-é), melyben kifejezetten a Chrome OS biztonságát akarják felmérni és persze bevásárolni eddig nem nyilvánosságra hozott bugokból. A verseny összdíjazása idén e millió dollár, melyből  minden olyan versenyző részesülhet, aki sikeresen demózni tud egy böngésző vagy rendszer szintű hozzáférést biztosító, böngészőn keresztül triggerelt exploitot (110.000 dollár exploitonként), illetve meg tudja tartani a gép feletti uralmat annak újraindítása után is (150.000 dollár). A versenyen ezen kívül különböző bónuszok kaphatók a különösen agyafúrt megoldásokért.

Az idei Pwnium különlegessége, hogy a célpontok között a HP ARM architektúrájú Chromebookja is szerepelni fog, ami gyakorlatilag egyfajta beavatási szertartásnak tekinthető: mostantól (valójában persze már jó ideje) a jellemzően ARM-mal hajtott mobil eszközök is valódi, értékes célponttá váltak, melyek megerősítésére (és hibáinak felkutatására) az x86-os családhoz hasonló figyelmet kell szentelnünk.

Címkék: google hp pwn2own cansecwest zdi pwnium

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben.

Nincsenek hozzászólások.