“入侵火狐只花了8秒”-尊龙凯时平台入口

[原文来自：www.pp00.com]

很多人觉得电视剧里黑客在数秒内破解密码、侵入系统虽然很厉害，但是真实性不高，看起来就像是随便敲了几下键盘。所谓艺术来源于生活，瞬间入侵并非在现实中不存在。最近，在一次黑客大赛上，一名黑客仅用了不到8秒的时间就入侵了主流的浏览器之一——火狐。

来者何人

pwn2own是全世界最著名、奖金最丰厚黑客大赛，由美国五角大楼网络安全服务商、惠普旗下tippingpoint的项目组zdi（zero day initiative）主办。参赛者需要从一些广泛使用的软件和设备中找出未发现的漏洞。而这次8秒找出火狐漏洞的也是这次比赛的参赛者——manfred paul。

5月18日，manfred paul在比赛中利用了火狐浏览器中两个关键的漏洞实现了闪电般的攻击，获得了10万美元的奖励，另外他还找到了苹果的safari浏览器中的bug，又赢得了5万美金，在本次比赛中获得的奖金位居第四。

（manfred paul成功地找到了火狐的两个bug）

哪两个关键bug？

这次比赛中参赛者成功找出的所有漏洞都会立即传递给相应的公司。这次manfred paul找出的两个漏洞都被评为具有严重影响：

• top-level await实现中的原型污染：攻击者在破坏javascript中的array对象时，可以在privileged环境中执行代码。

• javascript对象索引中使用不可信的输出，导致原型污染：这可能允许攻击者向父进程发送一条信息，该信息能用于对javascript对象进行双重索引。

对火狐用户的影响

虽然这两个漏洞是关键漏洞，影响评级也不低，但是对于用户来说影响不大。截至目前，mozilla基金会已经发布了火狐的紧急更新，修补了这些bug，而且火狐浏览器会在默认情况下自动更新，所以大多数用户已经在使用修复后的版本了。以下是更修复过的最新版本：

不过在这次大赛中，亮点远不止火狐一个。微软、ubuntu、苹果、甲骨文和特斯拉等产品的bug都被黑客们发现了。其中ubuntu被三个队伍拿下：sea security的orca团队、美国西北大学tutelary团队以及star实验室安全研究员billy jheng bing-jhong。

（sea security的orca团队发现ubuntu桌面的两个漏洞：oobw和use-after-free）

（美国西北大学tutelary团队也成功找出了一个针对ubuntu桌面进行提权的use after free漏洞）

除了ubuntu，特斯拉和微软的产品也是备受黑客的“青睐”，synacktiv的david berard和vincentdehors在telsa model 3信息娱乐系统中发现的2个独特漏洞（double-free和oobw），而微软的teams 和 windows 11也被挖出了多个严重的新漏洞。除此之外，safari和virtual box没能幸免。

（synacktiv的david berard和vincentdehors找到特斯拉的两个独特bug）

这一次的比赛是一个双赢的结果，不仅参赛者能够获得奖金，厂商还有90天的时间来修复这些漏洞，完善自己的产品。

参考资料：

http://www.forbes.com/sites/daveywinder/2022/05/22/firefox-browser-hacked-in-8-seconds-using-2-critical-security-flaws/

http://twitter.com/_manfp

http://www.mozilla.org/en-us/security/advisories/mfsa2022-19/

-end-

最近有一些小伙伴，让我帮忙找一些 面试题 资料，于是我翻遍了收藏的 5t 资料后，汇总整理出来，可以说是程序员面试必备！所有资料都整理到网盘了，欢迎下载！

本文到此结束，希望对大家有所帮助。