建站
咨詢
售后
建站咨詢
新聞中心
隨著全球遠(yuǎn)程辦公的常態(tài)化，BYOD大行其道，路由器和NAS等家庭數(shù)碼設(shè)備正在成為黑客重點(diǎn)關(guān)注的突破口。在近日舉行的Pwn2Own東京2020黑客大賽上，參賽的漏洞賞金獵人們在第一天就成功入侵了NETGEAR路由器和西部數(shù)據(jù)的NAS存儲設(shè)備(編者：這也是NAS設(shè)備首次參加Pwn2Own大賽)。
南城網(wǎng)站建設(shè)公司創(chuàng)新互聯(lián),南城網(wǎng)站設(shè)計制作，有大型網(wǎng)站制作公司豐富經(jīng)驗。已為南城上1000家提供企業(yè)網(wǎng)站建設(shè)服務(wù)。企業(yè)網(wǎng)站搭建\外貿(mào)網(wǎng)站制作要多少錢，請找那個售后服務(wù)好的南城做網(wǎng)站的公司定做！
今年的Pwn2Own Tokyo由加拿大多倫多的ZDI協(xié)調(diào)組織，由于冠狀病毒大流行，比賽變成了虛擬比賽，參與者在遠(yuǎn)程演示攻擊。
在活動的第一天，網(wǎng)件(NETGEAR)的高端路由器Nighthawk R7800受到了包括Black Coffee團(tuán)隊、Flashback團(tuán)隊以及網(wǎng)絡(luò)安全公司Starlabs和Trapa Security團(tuán)隊的“圍攻”。
Flashback團(tuán)隊因結(jié)合了兩個漏洞成功實(shí)施了通過WAN端口的遠(yuǎn)程代碼執(zhí)行利用，斬獲了網(wǎng)件的2萬美元的獎金。
而Starlabs團(tuán)隊(上圖)通過結(jié)合兩個漏洞實(shí)現(xiàn)了任意代碼執(zhí)行，獲得了5,000美元的獎金。Trapa Security團(tuán)隊使用命令注入缺陷來控制路由器后，同樣獲得了5000美元獎金。
西部數(shù)據(jù)的存儲產(chǎn)品，My Cloud Pro系列PR4100 NSA設(shè)備受到了Trapa Security團(tuán)隊的攻擊，該團(tuán)隊結(jié)合身份驗證旁路漏洞和命令注入漏洞成功獲取root權(quán)限(上圖)，斬獲西部數(shù)據(jù)的2萬美元獎金，而84c0團(tuán)隊則成功展示了遠(yuǎn)程代碼執(zhí)行漏洞，但是他們的成功并不完美，利用了以前已知的漏洞。
在Pwn2Own Tokyo 2020上，黑客入侵路由器和NAS設(shè)備的最高獎勵為20,000美元。對于路由器，WAN攻擊的獎勵更高(威脅更大)，而對于LAN攻擊，參與者最多可以賺到5,000美元。
同在第一天，Viettel網(wǎng)絡(luò)安全團(tuán)隊將三星智能電視作為目標(biāo)，盡管他們成功入侵并在設(shè)備上安裝了反向shell，但由于使用了已知漏洞，因此沒有獲得任何獎金。(編者：多個送測設(shè)備依然存在已知漏洞，這本身就是個大問題。)
在活動的第二天，F(xiàn)lashback團(tuán)隊使用三個漏洞在TP-Link AC1750智能WiFi路由器上通過WAN端口成功執(zhí)行任意代碼，又賺了2萬美元，兩天來的獎金達(dá)到了4萬美元。這也使他們以4分的總積分成為Pwn大師的公司。
作為第二天的“壓軸戲”，DEVCORE團(tuán)隊針對Synology DiskStation DS418Play NAS的攻擊頗具戲劇性。DEVCORE的第一次嘗試以失敗告終，而第二次嘗試則花費(fèi)了三分半多的時間，之后終于通過堆棧溢出獲取了對服務(wù)器的根訪問權(quán)限并斬獲了2萬美元獎金和2個Pwn積分。
在活動的第三天，如果DEVCORE能夠成功利用西部數(shù)據(jù)的NAS設(shè)備，則有望在積分上追平Flashback戰(zhàn)隊。
以下是活動第二日結(jié)束時的Pwn大師積分排名：
據(jù)悉，在Pwn2Own Tokyo接下來數(shù)日的活動中，參與者的重點(diǎn)依然是路由器、NAS和智能電視。
今年的Pwn2Own Tokyo活動由Facebook贊助，F(xiàn)acebook還邀請研究人員入侵其Oculus和Portal等設(shè)備。但是，目前來看，Pwn2Own Tokyo 2020參賽者的焦點(diǎn)依然是獎金較低的路由器、NAS產(chǎn)品和電視，而不是獎金更高的智能手機(jī)(通過瀏覽器入侵iPhone的獎金高達(dá)16萬美元)、可穿戴設(shè)備(Facebook Oculus Quest VR頭盔的獎金高達(dá)8萬美元、蘋果Apple Watch遠(yuǎn)程代碼執(zhí)行獎金同樣高達(dá)8萬美元)和智能家居(Ring和Arlo攝像頭獎金為4萬至6萬美元)。這說明家庭WiFi路由器、NAS存儲設(shè)備和智能電視的漏洞更加豐盛和容易得手。
在去年的Pwn2Own Tokyo上，參與者共披露了18個不同的漏洞，總計獲得了31.5萬美元獎金。
當(dāng)前標(biāo)題：黑客攻擊的下一個熱點(diǎn)：路由器和NAS漏洞
文章來源：http://www.dlmjj.cn/article/copejdi.html
