世界黑客大赛Pwn2Own：黑客攻破微软、特斯拉、macOS，夺取百万美元奖金

2023-03-26

2023年3月22日至24日，趋势科技ZDI在温哥华举办了新一届Pwn2Own大赛，这次大赛共分7个类别，包括虚拟机、web浏览器、企业应用、服务器、本地提权、企业通信以及汽车，赛事奖池超过百万美元。

据悉，本次比赛仍然是混合参赛模式，参赛选手可自由选择远程或现场参赛。知名车企特斯拉成为了本次大赛的合作伙伴，并为大赛提供特斯拉Model 3和Model S作为参赛选手们的攻击目标，最高奖励是60万美元外加汽车本身。

Pwn2Own 温哥华 2023大赛第一天的结果已经出炉。当天参赛选手们共进行了8次攻击尝试。其中成功的有：Haboob SA的AbdulAziz Hariri对Adobe Reader的攻击；STAR Labs对Microsoft SharePoint的攻击；来自Qrious Security的Bien Pham使用OOB Read和基于堆栈的缓冲区溢出来利用Oracle VirtualBox；以及Synacktiv使用TOCTOU漏洞攻击特斯拉网关等。其中选手赢取的单项最高奖金为10万美元和10个Pwn大师积分，另外还有一辆特斯拉Model 3。这一天大赛总共为选手们颁发了375000美元的奖金。

Pwn2Own大赛第二天的比赛结果也已经公布。Synacktiv、Team Viettel等团队分别成功攻击了Oracle VirtualBox、Microsoft Teams等目标，该比赛日共为10个零日漏洞颁发了475000美元奖金。

在比赛的第三天也是最后一天，这些安全研究员们将尝试利用Ubuntu Desktop、Microsoft Teams、Windows 11以及VMware Workstation中的零日漏洞。

按照惯例，对于在Pwn2Own大赛期间演示和披露的零日漏洞，供应商有 90 天的时间为其创建及发布安全修复程序，在这之后趋势科技ZDI将公开披露这些漏洞。

在去年那一届温哥华Pwn2Own大赛中，安全研究员们共六次入侵Windows 11、四次攻击Ubuntu桌面，成功演示了3次Microsoft Teams零日漏洞利用，此外他们还报告了Apple Safari，Oracle Virtualbox和Mozilla Firefox中的几个零日漏洞，并成功入侵了特斯拉Model 3信息娱乐系统。这些成果共为他们赢得了1155000美元奖金。

编辑：左右里

资讯来源：www.zerodayinitiative.com

转载请注明出处和本文链接

每日涨知识

缓冲区溢出（buffer overflow）

这种脆弱性会导致系统崩溃，或者允许用户运行 shell 命令并获得对系统的访问权限。缓冲区溢出脆弱性在使用 CGI 或其他语言快速开发的 Web 代码中尤为普遍，快速代码开发允许没有经验的程序设计人员快速生成交互式的网页。

﹀

球分享

球点赞

球在看

戳“阅读原文”一起来充电吧！

世界黑客大赛Pwn2Own：黑客攻破微软、特斯拉、macOS，夺取百万美元奖金

本栏目精选

热门推荐

频道导航