首頁 / 公司新聞 / 亮相Black Hat Asia 2023，360公開發布重磅漏洞研究成果

亮相Black Hat Asia 2023，360公開發布重磅漏洞研究成果

近日，Black Hat Asia 2023（亞洲黑帽大會）在新加坡如期拉開帷幕。作為公認的世界信息安全行業最高盛會，Black Hat 每年都會向外界持續輸送出最新的安全研究成果、創新技術等前沿資訊，是展現全球安全發展風向的最好窗口。

自2014年起，360已連續十年登上Black Hat全球黑帽大會的舞臺，在本屆Black Hat Aisa大會中，360數字安全集團再度受邀參會，旗下360漏洞研究院的安全專家宣布，他們開發了一種基於語法樹和上下文分析的語法變異Fuzz，以便在Chrome中尋找WebSQL高危漏洞。

他們表示：“隨著Chrome逐步對傳統RCE攻擊面（V8和Blink）增加了緩解機制，使得攻擊難度大大增加，因此通過WebSQL API借助攻擊底層SQLite引擎來攻擊Chrome再次受到了我們的關注。自2020年以來，我們的Fuzzer發現了絕大部分Chrome WebSQL漏洞，包括多個釋放後使用漏洞、棧溢出和越界讀寫漏洞。”

在該演講中，他們詳細介紹了該Fuzzer的工作原理和優點，包括通過構建完整的語法樹來保證語法的有效性，通過上下文分析指導變異策略，實現更好的語義有效性，以及實現更好的種子篩選機制和基於覆蓋率引導的樹節點變異方法。

盡管Chrome WebSQL的白名單得到了增強，2020年之後Chrome中的WebSQL漏洞大大減少，但該Fuzzer仍然持續發現新的高危WebSQL漏洞。這些漏洞可能導致任意地址讀取、棧溢出和越界寫入等影響，通過這些漏洞可以完全控制內存布局，劫持部分寄存器，實現任意地址讀取，造成信息泄漏，甚至可以實現遠程代碼執行（RCE）。

他們還強調，SQLite在Chrome中是一個容易被忽視的弱點，引入第三方庫總是伴隨著一些安全隱患。該Fuzzer可以改善SQL Fuzzer的語法有效性和語義有效性，從而發現更多的SQLite漏洞。他們表示，該Fuzz方法適用於所有的語法類目標，通過為不同目標構建所需的上下文分析，可以將這套Fuzzer應用到更多的平臺或目標上。

在本屆Black Hat Asia中，360漏洞研究院提交的這一極具研究價值的安全成果，再度向世界展現出中國安全力量的蓬勃脈動。在此之前，360漏洞研究院憑借著一次又一次震撼全球的安全實力，不僅成為微軟MSRC、天府杯等國際獎項中屠榜的“常客”，還榮膺中國首個“The Pwnie Awards”史詩級成就獎和最佳提權漏洞獎，更是連續多年獲穀歌官方漏洞獎勵計劃年報（VRP）公開致謝。

作為數字安全的領導者，360數字安全集團未來也將繼續從政策、標準、檢測、修複、應急響應等多方面積極推進，深耕創新技術，感知漏洞風險，看見安全威脅，為推動數字安全的高質量發展做出更多貢獻。