北京時(shí)間11月22日，Google發(fā)布最新安全公告，公開致謝360 Alpha Lab首個(gè)發(fā)現(xiàn)并提交關(guān)于攻破Pixel手機(jī)的“梯云縱”漏洞鏈報(bào)告，以及向360 Alpha Lab負(fù)責(zé)人龔廣頒發(fā)總金額為201,337美元的漏洞獎(jiǎng)勵(lì)。
此次挖掘出“梯云縱”漏洞的幕后功臣，正是360安全大腦中安全專家云下的360 Alpha Lab。他們所拿下201,337美元不僅成為Google漏洞獎(jiǎng)勵(lì)計(jì)劃（VRP）有史以來最高的獎(jiǎng)金紀(jì)錄，并超越了所有廠商所開出的單項(xiàng)漏洞最高獎(jiǎng)勵(lì)。
獨(dú)立發(fā)現(xiàn)“梯云縱”漏洞鏈，一鍵遠(yuǎn)程攻破Google Pixel 3
一直在以來，對(duì)安全性極為重視的Google，其親自操刀的Pixel手機(jī)被公認(rèn)為“最難被攻破”的手機(jī)。就連世界最高破解大賽Mobile Pwn2Own，自2017年至今3年來，Pixel手機(jī)也是唯一未被破解的項(xiàng)目。并且，Google Pixel不僅僅沒有被攻破，甚至無人報(bào)名挑戰(zhàn)，可見攻破Pixel的難度之大。
然而今年8月，360 Alpha Lab卻在Pixel手機(jī)里發(fā)現(xiàn)了一組具有持久性的全鏈遠(yuǎn)程代碼執(zhí)行漏洞，利用該漏洞鏈可一鍵遠(yuǎn)程獲取手機(jī)最高控制權(quán)限，而該漏洞鏈的獨(dú)立發(fā)現(xiàn)者360 Alpha Lab將其命名為“梯云縱”漏洞。
并且360 Alpha Lab已在測試中證實(shí)，利用“梯云縱”漏洞鏈可成功繞過Google的安全防護(hù)機(jī)制，順利攻破無堅(jiān)不摧的Pixel 3手機(jī)。而Pixel 3的失陷也意味著，“梯云縱”漏洞幾乎影響所有Android系統(tǒng)和Chrome瀏覽器，若黑客一旦利用即可任意獲取用戶敏感信息，對(duì)用戶個(gè)人隱私和財(cái)產(chǎn)造成極大威脅。
作為國內(nèi)最大的互聯(lián)網(wǎng)安全公司，360 Alpha Lab率先發(fā)現(xiàn)了該漏洞鏈的存在，確認(rèn)其具體危害和可影響范圍，并在第一時(shí)間將該漏洞提交至Google官方，協(xié)助Google實(shí)現(xiàn)對(duì)“梯云縱”漏洞鏈問題的修復(fù)。
不僅斬獲Google歷史最高獎(jiǎng)金，還獲得“1337”特別漏洞獎(jiǎng)勵(lì)
此次Google致謝中，360 Alpha Lab分別從Android安全獎(jiǎng)勵(lì)計(jì)劃（ASR）中獲得了161,337美元的獎(jiǎng)勵(lì)，并從Chrome獎(jiǎng)勵(lì)計(jì)劃獲得了40,000美元的獎(jiǎng)勵(lì)，總計(jì)201,337美元。而201,337美元的漏洞獎(jiǎng)勵(lì)，是所有Google VRP獎(jiǎng)勵(lì)計(jì)劃中的歷史最高獎(jiǎng)勵(lì)。
要知道，自2015年發(fā)布Google VRP獎(jiǎng)勵(lì)計(jì)劃以來，最大漏洞獎(jiǎng)金一直鎖定為200,000美元，然而始終沒人獲得過這一最高金額。直到“梯云縱”漏洞的發(fā)現(xiàn)，360 Alpha Lab才打破了無人觸頂?shù)臍v史，甚至還刷新了Google所支付的最高獎(jiǎng)金。
這里必須一提的是，Google的基本賞金通常為500美元，但針對(duì)特別嚴(yán)重的漏洞，Google別出心裁地設(shè)置了Leet（或“1337”）漏洞賞金計(jì)劃，以特殊的1337美元褒獎(jiǎng)那些“特別嚴(yán)重或特別聰明”的漏洞發(fā)現(xiàn)。也正如此，“梯云縱”漏洞獎(jiǎng)勵(lì)不僅代表了Google給出的史上最高獎(jiǎng)金，同時(shí)也是Google官方認(rèn)定的“特別聰明”漏洞獎(jiǎng)勵(lì)。
360 Alpha Lab“梅開二度”，連續(xù)霸榜Google史上最高
360安全大腦下的360 Alpha Lab，是由360兩大頂尖團(tuán)隊(duì)Alpha Team 和C0RE Team組建而成，而此次“梯云縱”漏洞的發(fā)現(xiàn)，正是兩大安全團(tuán)隊(duì)強(qiáng)強(qiáng)碰撞的火花。而回?cái)?shù)戰(zhàn)績，他們已連續(xù)多次獲得Google公開致謝：
2018年1月，360 Alpha Lab憑著發(fā)現(xiàn)“穿云箭”組合漏洞，拿到Android安全獎(jiǎng)勵(lì)計(jì)劃（ASR）史上最高金額獎(jiǎng)金——112,500美元獎(jiǎng)金，而“穿云箭”漏洞在當(dāng)時(shí)所引起的轟動(dòng)至今仍未平復(fù)。
2019年3月，360 Alpha Lab又發(fā)現(xiàn)一枚可以用來ROOT目前國內(nèi)外主流Android手機(jī)的“內(nèi)核通殺”型漏洞——“水滴”漏洞（CVE-2019-2025），Google發(fā)表公開致謝，并獎(jiǎng)勵(lì)漏洞獎(jiǎng)金14,000美元。
到了2019年11月，始終奮戰(zhàn)在挖洞第一線的360 Alpha Lab再下一城，又再發(fā)現(xiàn)了威力更大、影響更廣、獎(jiǎng)金更高的“梯云縱”組合漏洞，并再一次刷新Google史上最高漏洞獎(jiǎng)金紀(jì)錄。
可以說，360 Alpha Lab無可撼動(dòng)的挖洞能力，是360整個(gè)安全團(tuán)隊(duì)挖洞實(shí)力的縮影。對(duì)于360安全團(tuán)隊(duì)而言，不僅連續(xù)包攬了Google、微軟、蘋果三巨頭的最高漏洞獎(jiǎng)勵(lì)，并已累計(jì)發(fā)現(xiàn)包括蘋果、Google、微軟、華為、高通、VMWare等在內(nèi)的全球主流廠商CVE漏洞超過2000個(gè)（也就是說平均每天都會(huì)挖掘1.3個(gè)漏洞），成為全球獲得致謝次數(shù)最多的安全廠商，刷新世界紀(jì)錄，向世界展現(xiàn)了來自中國的安全力量。
眾所周知，在大安全時(shí)代，“漏洞”關(guān)乎著企業(yè)自身的安全、品牌的聲譽(yù)以及千千萬萬用戶的切身利益，一旦漏洞被不法分子搶先發(fā)現(xiàn)并利用，其后果不堪設(shè)想。而360安全團(tuán)隊(duì)，憑借著其過硬的實(shí)力，全年無休地守護(hù)著網(wǎng)絡(luò)安全，與惡勢力賽跑，幫助各大企業(yè)廠商不斷完善系統(tǒng)安全，努力為廣大用戶提供一個(gè)安全的網(wǎng)絡(luò)環(huán)境。
責(zé)編：黎曉珊
版權(quán)作品，未經(jīng)環(huán)球網(wǎng) huanqiu.com 書面授權(quán)，嚴(yán)禁轉(zhuǎn)載，違者將被追究法律責(zé)任。
