中國在成都辦了場自己的「Pwn2Own」，第一天就黑了Safari和Chrome

• 2019 年 12 月 2 日
• 筆記

大數據文摘出品

作者：曹培信

一個神秘的周末，中國的頂級「黑客」們齊聚成都。

他們聚集到在一起，架上電腦，直接向Chrome、Edge、Safari、Microsoft Office 365等知名軟體發起了攻擊，包括ZDNet在內的不少科技媒體都被此事件震驚，紛紛跟進報道……

別慌，這一幕並不是極客們在搞破壞，而是在參加第二屆「天府杯」國際網路安全大賽。

這次大賽一共吸引了來自中國外32家網路安全頂級技術團隊進駐，一共110餘名網路技術精英參加了大賽的角逐。為激勵和挖掘全球互聯網安全人才，主辦方此次比賽不僅設置了具有較高難度的技術挑戰環節，還設置了百萬美元獎金和獎項。

主辦方介紹說，此次網路安全大賽以逐步打造屬於中國自己的「Pwn2Own」為目標，共設置了三個獨立並行的比賽環節，原創漏洞演示復現賽、產品破解賽和系統破解賽。

前兩個環節為破解大賽必選部分，需要戰隊在報名時進行選擇一個環節參加比賽，系統破解賽則設置為開放性比賽環節，在現場提供給感興趣的參賽隊員進行破解。

其中，產品破解賽有25隻戰隊參加；原創漏洞演示復現賽共有7隻戰隊參加；系統破解賽方面，主辦方提供了包括工控設備、國產linux作業系統等目標，系統破解賽為開放式賽事，面向所有參賽隊伍和隊員。

在原創漏洞演示復現賽中，所有參賽隊伍已提前向組委會提交了最少1個自己掌握的高危原創漏洞，提交漏洞的隊伍現場演示掌握的原創漏洞利用效果，現場提前準備了復現所需要的相應軟硬體設備。

而在最受關注的產品破解賽中，該環節設置了包含PC端、移動端、伺服器端、IOT設備等在內的若干破解題目，由各參賽隊伍進行現場破解。我們可以看到，所需破解的對象無論是軟體還是硬體，都是大公司生產的最新產品，其難度可想而知。

系統破解賽為開放性題目，組委會設置一些工業場景的控制設備及題目在現場（不提前公布），參賽隊伍可在現場酌情進行破解。

比賽的第一天是其最忙碌的一天，一共有32次挑戰，其中，13次攻擊成功，7次攻擊失敗，剩餘的12次攻擊中，出於各種原因，參賽人員放棄了攻擊嘗試。

第一天過後，名為「360Vulcan」的隊伍保持領先，這支隊伍也曾獲得Pwn2Own大賽的冠軍。他在事後發twitter表達了對這次比賽參賽者技能的驚訝。

但是360Vulcan 團隊放棄了針對iOS的攻擊，儘管如此，「360Vulcan」戰隊還是當之無愧的冠軍，他們通過成功破解微軟Edge、Microsoft Office 365、 qemu + Ubuntu、Adobe PDF Reader和VMware Workstation瀏覽器，一共斬獲382500美元的獎金。「360Vulcan」戰隊還獲得了最具價值產品破解獎

而另外兩隻強隊「ddd戰隊」和「StackLeader」分別獲得了83750美元和38759美元的獎金。

以往在比賽中，被攻擊的軟硬體供應商會派代表參加這種競賽，他們派代表在比賽結束幾分鐘後就開始收集漏洞報告，其中一些供應商在幾小時內就發布了修補程式。

但是參加天府杯的廠商並不多，但是根據大賽的情況看，很多公司很可能會開始考慮明年派一名代表參賽。

一位競賽發言人告訴媒體，大賽組織者計劃在競賽結束時向相應的供應商報告比賽發現的所有漏洞。

與國際網路安全大賽同步進行的還有2019天府國際網路安全高峰論壇，整個活動由百度、阿里巴巴、騰訊、360公司、奇安信、清華大學網路科學與網路空間研究院、中科院資訊工程研究所、亞信安全、永信至誠、成都天投集團、中國網安等單位共同主辦。