8月13日，在美國剛剛結(jié)束的安全頂級峰會BlackHat USA(黑帽大會)和DefCon上，螞蟻金服光年安全實驗室(簡稱AFLSLab)研發(fā)的漏洞檢測工具等重要研究成果再次成功入選。自2018年以來，螞蟻金服光年安全實驗室還先后中稿BlackHat Asia 2018黑帽大會以及武器庫，同時在北美的CanSecWest安全攻防峰會上也首次中稿Android安全領(lǐng)域的漏洞挖掘文章，連創(chuàng)多次第一。

　　據(jù)了解，黑帽安全技術(shù)大會創(chuàng)辦于1997年，被公認(rèn)為世界信息安全行業(yè)的最高盛會，也是最具技術(shù)性的信息安全會議。大會每年會評選有實戰(zhàn)能力的安全工具進(jìn)入”軍械庫”(BlackHat Arsenal)，供全球安全行業(yè)學(xué)習(xí)。而DefCon黑客大會誕生于1992年，又稱電腦黑客秘密大派對，參會者除來自世界各地黑客。這兩個大會是網(wǎng)絡(luò)安全行業(yè)的盛會，是安全從業(yè)者的世界舞臺。

　　首次受邀，入選美國BlackHat &DefCon黑帽大會

　　在剛剛結(jié)束的BlackHat USA 2018軍械庫上，螞蟻金服光年安全實驗室的安全工程師周宇、高級安全專家曲和及來自默安的王偉，針對于VxWorks系統(tǒng)的高級模糊測試框架ChangWei成功入選，工具篇《ChangWei:A Modern Fuzzing Framework for VxWorks System》。

　　VxWorks系統(tǒng)具有良好的可靠性和卓越的實時性，被廣泛應(yīng)用在工控物聯(lián)網(wǎng)領(lǐng)域，如衛(wèi)星通訊、軍事演習(xí)、彈道制導(dǎo)、飛機導(dǎo)航等，安全的重要性不言而喻。目前，針對其的測試方法還停留在傳統(tǒng)的黑盒階段，而光年安全實驗室創(chuàng)新性地更新了檢測方法，可以高效地發(fā)現(xiàn)系統(tǒng)本身和開發(fā)者代碼中的潛在漏洞。

　　在隨后舉行的DEFCON USA DemoLab中，螞蟻金服光年安全實驗室的高級安全工程師周智和來自長亭的安全工程師張一峰受邀展示了開源工具議題《Passionfruit: an iOS app blackbox assessment tool》。iOS 和 Android 是目前最流行的兩大移動智能操作系統(tǒng)。相比后者，iOS 的應(yīng)用安全問題較少受到關(guān)注，工具也相對匱乏。

　　Passionfruit 是一款專門為 iOS 平臺應(yīng)用做安全測試和動態(tài)分析的工具，提供了跨平臺的圖形界面，快速完成 iOS 應(yīng)用安全測試中常見的需求，包括信息收集、URL 測試、存儲信息分析、截圖、動態(tài)插樁等任務(wù)。利用此工具可以幫助開發(fā)者和安全研究人員方便快捷地對 iOS 應(yīng)用暴露的攻擊面進(jìn)行測試分析，更快速定位隱患，提升 iOS 應(yīng)用的安全性。

　　亞洲黑帽大會：唯一入選由中國人開發(fā)的漏洞檢測工具

　　今年3月，在BlackHat ASIA 2018(亞洲黑帽大會)的軍械庫上，螞蟻金服光年安全實驗室的高級安全專家曲和、高級安全工程師河廣研發(fā)的二進(jìn)制漏洞檢測工具HORUS成功入選，也是本屆唯一入選的由中國人開發(fā)的工具，工具篇《HORUS – BINARY LIBRARY SECURITY SCANNING ENGINE》分享了工具HORUS。這是一套易用的跨平臺二進(jìn)制程序漏洞檢測工具，可以有效預(yù)判程序漏洞，提前消除系統(tǒng)性風(fēng)險。

　　當(dāng)下越來越多的應(yīng)用使用三方庫，例如libopenssl、libffmpeg等，HORUS構(gòu)建和提供了一套跨平臺規(guī)則匹配系統(tǒng)，可以方便的對二進(jìn)制庫進(jìn)行的特征分析和漏洞檢測。譬如通過HORUS可預(yù)判到二進(jìn)制庫中可能存在類似“HeartBleed”這樣的漏洞。當(dāng)新的移動操作系統(tǒng)漏洞或缺陷出現(xiàn)時，可以通過自定義的檢測規(guī)則，快速匹配，提前預(yù)判并消除風(fēng)險。

　　同時，在BlackHat ASIA 2018的議題《International Problems: Serialized Fuzzing for ICU Vulnerabilities》中，來自螞蟻金服光年安全實驗室的安全專家墨蹊，分享了如何高效率地挖掘ICU組件漏洞的關(guān)鍵技術(shù)，以及團(tuán)隊最新研究發(fā)現(xiàn)的ICU中的幾個漏洞的相關(guān)細(xì)節(jié)。

　　ICU是Unicode的國際化組件，應(yīng)用非常廣泛，很多非常流行的軟件和系統(tǒng)比如Chrome, Edge, Firefox, Android, macOS, iOS, Windows 10中都用到了ICU，甚至一些汽車比如奔馳、寶馬、奧迪、大眾、豐田等的系統(tǒng)中也用到了ICU。ICU中的漏洞都可能對這些系統(tǒng)造成一定的危害，造成非常廣泛的影響。光年實驗室安全專家表示，通過這次分享，我們希望喚起各個開發(fā)者和廠商對ICU組件的漏洞引起重視，攜手共同提高ICU公共組件的安全性。

　　首次亮相北美的CanSecWest 安全攻防峰會

　　在征戰(zhàn)BlackHat的同時， 光年安全實驗室的議題也入選過CanSecWest 2018。螞蟻金服光年安全實驗室的高級安全工程師仲花、高級安全專家曲和進(jìn)行《Tunnel War: Attack Android Through Multiple Hidden Interface》的漏洞挖掘技術(shù)分享。這次分享揭秘了一系列潛藏在的Android系統(tǒng)中的邏輯漏洞，以及總結(jié)了發(fā)現(xiàn)的方法。在應(yīng)用層，通過對手機固件廠商的預(yù)制更新機制FOTA以及Localsocket進(jìn)行分析，揭秘了固件廠商軟件包中的隱患;在系統(tǒng)層，通過隱藏在Android圖形圖像子系統(tǒng)中的一些列邏輯問題，從系統(tǒng)服務(wù)層層深入，揭露了新的邏輯漏洞挖掘方法與思路，同時深入攻擊到芯片廠商的硬件抽象實現(xiàn)，揭露了硬件廠商在手機上實現(xiàn)存在的一些安全隱患與漏洞。這次分享揭露了多個沒有被大家重視的Android系統(tǒng)中的隱藏攻擊面，為進(jìn)一步鞏固Android系統(tǒng)安全，增強金融級安全能力提供了強有力的技術(shù)支持。

　　螞蟻金服光年安全實驗室有著豐富的黑灰產(chǎn)抗擊經(jīng)驗和行業(yè)內(nèi)頂尖的攻防技術(shù)能力，除致力于護(hù)航支付寶及螞蟻金服的相關(guān)產(chǎn)品安全，同時也通過前沿的安全技術(shù)的密集分享來賦能外部合作商戶、廠商以及生態(tài)伙伴的安全。2018年以來，光年實驗室已報告多個操作系統(tǒng)漏洞以及瀏覽器漏洞，其中在瀏覽器方面報告的Chrome、Safari漏洞，均位居國內(nèi)前列。也屢屢獲得包括蘋果、谷歌、微軟在內(nèi)的多家科技巨頭的致謝。光年實驗室正在成為安全領(lǐng)域的一顆新星。

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實，對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾，并請自行核實相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時聯(lián)系我們，本站將會在24小時內(nèi)處理完畢。