В этом году Google решила не спонсировать очередной конкурс Pwn2Own, обнаружив, что правила позволяют участникам скрывать от производителей обнаруженные уязвимости. Вместо этого был объявлен параллельный конкурс Pwnium [ http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html ], участники которого получали от 20 до 60 тысяч долларов в зависимости от серьезности найденной уязвимости, была ли это уязвимость в самом Chrome либо в стороннем плагине (в первую очередь Flash).
Первые 60 тысяч взял русский студент Сергей Глазунов, две уязвимости которого позволили обойти песочницу Chrome, в качестве демонстрации запустив калькулятор на атакуемой машине. Аналогичных результатов в рамках Pwn2Own добилась команда VUPEN, отказавшаяся открыть использованные уязвимости.
И незадолго до окончания конкурса некий "высокий тинейджер...
Сам по себе запуск калькулятора ничего не значит без пояснения привилегий под какими тот запустился. Песочница не предотвращает исполнение чужого кода, песочница не дает ему натворить ничего с пользовательской системой. (наболело, как имеющему отношение к разработке подобных песочниц - надоело отшивать крякеров запустивших нотепад в песочнице ) Надо просто говорить хацкерам создать файл на реальной ФС и прописаться в автозапуск реальной ОС - как правило они сразу пропадают :)
под локальным юзером, насколько я понимаю описание приза12.03.12 01:36 Автор: dl <Dmitry Leonov>
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
