5月12日，由安全團隊KEEN主辦的世界黑客大賽GeekPwn澳門站落幕，十幾款主流路由器、智能遙控器、智能攝像頭、防黑客保險箱等智能軟硬件產(chǎn)品被逐一攻破，安全極客再次震驚世界。
來自長亭科技的選手，憑借10款路由器項目及小蟻攝像頭項目捧走42萬獎金，成為本次比賽的大贏家；來自騰訊網(wǎng)絡(luò)攻防小組的Surface Pro項目，憑借高難度的技術(shù)含量獲得15萬單項獎金以及5萬“最霸技術(shù)獎”獎金；而來自加州大學的曹躍團隊以其世界罕見的TCP劫持技術(shù)獲得的10萬單項獎金和5萬元的“最大腦洞獎”。
高中生小鮮肉鐘情破解技術(shù) 女黑客隨意遠程操控智能遙控器
本次比賽年齡最小的選手是兩名16歲的高中生，他們演示了如何用手機劫持無人機，使得無人機不受遙控器控制而起降，以及不聽指揮自動返航。雖然最終評委從嚴格漏洞判斷標準角度判定該項目不屬于無人機的安全漏洞，但兩名少年因?qū)ζ平饧夹g(shù)的熱情而獲得了本屆比賽的“極客精神鼓勵獎”。
而全場唯一的女黑客將攻破目標鎖定在智能家居，她攻破了巢控智能遙控器，凡是可以通過紅外遙控器控制的家電都可以被劫持。試想一下，如果遙控啟動電熱毯或者電熱浴霸甚至可能引發(fā)火災(zāi)。
“誓要玩壞各種智能與不智能的保險箱”的“黑客叔叔”將各種保險箱玩弄于股掌之間，不僅劫持了“SAFEOK防黑客保險箱”的密碼，還能將其改造成“鬧鐘”——特定時間不起床，就可能錢財不保。這個項目因其腦洞大開的改造精神被評為“最酷展示獎”。
頂級黑客大賽難度級別的項目現(xiàn)身獲最霸技術(shù)獎
曾經(jīng)在另一個世界黑客大賽Pwn2Own奪冠的團隊也現(xiàn)身GeekPwn大賽，他們獲得了“最霸技術(shù)獎”。微軟產(chǎn)品Surface Pro 4成為他們的炫技道具，展示了真實世界中高級持續(xù)性威脅攻擊APT技術(shù)：通過利用Windows和Adobe Reader的漏洞，來自騰訊網(wǎng)絡(luò)攻防小組的選手可以完全控制Surface Pro——“黑客”給受害者發(fā)送了一個惡意的PDF文件，當受害者打開這個PDF文件，Surface攝像頭在現(xiàn)場拍攝的影像即被上傳到“黑客”的電腦。
加州博士生重現(xiàn)歷史頭號黑客攻擊手段可遠程任意劫持通訊
現(xiàn)場最令人咋舌的，是來自美國加州大學的博士生曹躍利用可被稱為“網(wǎng)絡(luò)基礎(chǔ)設(shè)施”的TCP/IP協(xié)議棧實現(xiàn)漏洞進行遠程劫持的演示。在90年代互聯(lián)網(wǎng)發(fā)展早期，凱文·米特尼克利用當時還不完善的TCP協(xié)議實施了“任意互聯(lián)網(wǎng)會話劫持技術(shù)”并一舉成名，如今，曹躍所在的團隊針對現(xiàn)代已經(jīng)不斷完善的TCP協(xié)議，從中挖掘出如此重量級的漏洞，無疑對世界的信息安全研究都有著重大的參考意義。
曹躍在GeekPwn比賽現(xiàn)場展示了他的“魔術(shù)”：攻擊者獲知世界任意一地方受害者的IP地址后，即可能遠程劫持其通訊。在展示中，受害者電腦顯示屏上正在瀏覽的新聞網(wǎng)頁突然跳出了一個虛假的登錄頁面，按提示輸入賬號及密碼之后，相同的內(nèi)容便出現(xiàn)在了選手曹躍的電腦上。與新聞中常見網(wǎng)絡(luò)犯罪手段（如木馬、釣魚、欺詐）不同的是，受害者無需犯任何錯——就會淪為攻擊者的羔羊。
有40多億種可能的序列號以及6萬多種可能的端口號，兩者相組合形成的不可預(yù)測性是TCP/IP協(xié)議的安全基石。曹躍成功地實現(xiàn)了一種能夠在短時間內(nèi)就探測到TCP連接的端口號及序列號的技術(shù)，這意味著互聯(lián)網(wǎng)上幾乎所有的安卓和Linux系統(tǒng)，都可以在任意時間、任意位置被攻擊，被劫持通訊。
數(shù)萬家庭Wi-Fi可被隨時隨地侵入
本次比賽的大獎選手長亭科技帶來了市面上10款路由器項目，包括思科路由器、360路由器、TP-Link路由器、網(wǎng)件路由器、華碩路由器等10款路由器逐一被破解。根據(jù)現(xiàn)場演示，安卓手機在連接了有漏洞的路由器后，在使用正規(guī)軟件市場下載應(yīng)用時，正規(guī)的軟件便會被替換為植入了木馬的惡意程序，使得攻擊者可以收發(fā)查看受害者短信、控制手機的電話功能、調(diào)用手機攝像頭等。除此之外，長亭科技還發(fā)現(xiàn)了存在漏洞的華碩路由器服務(wù)被暴露在互聯(lián)網(wǎng)上，攻擊者可以在全世界任意位置對其發(fā)起遠程攻擊，受影響的路由器達數(shù)萬臺。
廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。