半個(gè)多月前的WWDC2018蘋(píng)果開(kāi)發(fā)者大會(huì)上，iOS12Beta版正式亮相;三天前的凌晨，蘋(píng)果推送了iOS11.4最新版本的更新。
就在今天上午的Mosec移動(dòng)安全技術(shù)峰會(huì)上，360Vulcan團(tuán)隊(duì)現(xiàn)場(chǎng)演示了同時(shí)越獄iOS11和12Beta版的全過(guò)程。同時(shí)，他們還首次披露了用于贏得Moblie Pwn2Own2017多個(gè)項(xiàng)目冠軍的蘋(píng)果移動(dòng)瀏覽器Safari的漏洞。
Pwn2Own冠軍團(tuán)隊(duì)亮相!首次公開(kāi)破解iPhone的漏洞神器
在名為《手機(jī)瀏覽器中的遠(yuǎn)程代碼執(zhí)行——Mobile Pwn2Own實(shí)例分享》的議題中，360Vulcan團(tuán)隊(duì)成員首次公開(kāi)介紹了Pwn2Own上用于攻破多個(gè)項(xiàng)目的Safari漏洞。
這個(gè)漏洞威力有多大?時(shí)間切換到2017年11月2日下午，在第六屆移動(dòng)Pwn2Own黑客大會(huì)上，360安全戰(zhàn)隊(duì)連續(xù)兩次攻破iPhone7，以零失敗戰(zhàn)績(jī)完美收獲多個(gè)項(xiàng)目冠軍。在利用Safari漏洞破解iPhone時(shí)，他們用Safari瀏覽器訪問(wèn)一個(gè)預(yù)先設(shè)置好的網(wǎng)頁(yè)，進(jìn)而直接實(shí)現(xiàn)了遠(yuǎn)程控制手機(jī)，并獲得手機(jī)的短信、照片等任意信息。
能夠攻破蘋(píng)果的封閉系統(tǒng)，其漏洞價(jià)值自然不容小覷。目前，漏洞軍火商Zerodium發(fā)布的漏洞“牌價(jià)”上，Safari的價(jià)值飆到了15萬(wàn)美元。在完成對(duì)iPhone的破解后，360安全團(tuán)隊(duì)立刻將漏洞細(xì)節(jié)報(bào)告給蘋(píng)果官方，如今該漏洞已經(jīng)得到修復(fù)。
Mosec最吸睛彩蛋：一套漏洞同時(shí)越獄iOS11/12最新版
兩臺(tái)iPhone手機(jī)，一部配置iOS11最新正式版，一部是iOS12開(kāi)發(fā)者預(yù)覽版，打開(kāi)Safari瀏覽器，訪問(wèn)帶有360Vulcan標(biāo)志性紅色Logo的網(wǎng)頁(yè)后，不到60秒，兩臺(tái)手機(jī)上分別成功裝上了一個(gè)可被任意控制的app，這標(biāo)志著獲得了系統(tǒng)的最高權(quán)限，越獄完美實(shí)現(xiàn)。
360Vulcan團(tuán)隊(duì)成員古河表示，“我們是利用一套漏洞同時(shí)攻破iOS最新的正式版本和開(kāi)發(fā)者版本，作為最新的iOS系統(tǒng)，iOS12的安全性雖然有了很大的提升，但世界上沒(méi)有無(wú)法攻破的系統(tǒng)，我們的演示也在幫助蘋(píng)果不斷完善其操作系統(tǒng)的安全性”。
據(jù)了解，這套漏洞是360Vulcan團(tuán)隊(duì)最新研究成果，尚未進(jìn)行公開(kāi)，其中使用的漏洞也將提交給蘋(píng)果官方進(jìn)行修復(fù)。
MOSEC 移動(dòng)安全技術(shù)峰會(huì)致力于分享移動(dòng)安全領(lǐng)域前沿性的技術(shù)議題及發(fā)展趨勢(shì)，覆蓋iOS、Android、Windows三大移動(dòng)平臺(tái)。MOSEC移動(dòng)安全技術(shù)峰會(huì)始辦于2015年，至今已成功舉辦三屆。來(lái)自全球的優(yōu)秀互聯(lián)網(wǎng)安全專(zhuān)家以及眾多神秘重量級(jí)演講嘉賓于6月22日聚首上海，向世界分享最新安全研究成果。
