中国企业的历史性突破 360 安全独立研究成果被 USENIX Security 收录

摘要

漏洞挖掘是安全研究人员津津乐道的一项任务。从开始渗透测试网站到发现漏洞,然后提交给厂商,整个过程会耗费白帽子们大量的时间精力,甚至不得不连续几个日夜守在电脑面前反复测试。尤其是针对 Windows 系统的漏洞挖掘,由于微软没有提供源码,人工挖掘需要逆向分析,再加上微软的代码很庞大,人工挖掘可谓极其费时费力。

那么,如何才能又快又多地发现系统漏洞呢?在 8 月 16 日——18 日召开的 USENIX Security 会议上,360 冰刃实验室将会带来《Digtool:A Virtualization-Based Framework for Detecting Kernel Vulnerabilities》的议题分享,介绍四种类型的 Windows 漏洞自动挖掘技术。

跑一局游戏,十几个漏洞就挖到了

Digtool 是 360 冰刃实验室自主开发的一款 Windows 漏洞自动化挖掘系统,主要利用「基于硬件的路径探测方法和基于硬件虚拟化的错误检测机制」进行检测,捕获程序执行过程中触发的漏洞。「Digtool 自动化挖掘系统成果显著,具有学术和工业双重价值。」360 冰刃实验室掌门人潘剑锋表示。

Digtool 是第一款利用硬件虚拟化技术的实用化自动漏洞挖掘系统;也是一款「黑盒」漏洞挖掘系统,不需要基于源码即可完成漏洞挖掘;更惊艳的一点是,Digtool 可以实现自动化、批量化工作,「可能只需要跑一局游戏,十几个漏洞就挖到了。」

Digtool 的工作流程就像挖沙淘金一样:首先,Digtool 可以记录内存访问日志,这就实现了第一步挖沙的过程;进而,Digtool 的分析模块会进行分析,一旦符合主要的六种漏洞行为特征规则,便实现了一次「淘金」,也就意味着找到一个漏洞。利用 Digtool,冰刃实验室在短期的初步功能验证实验中就已经挖掘到 20 个微软内核漏洞,以及 41 个来自杀毒厂商的驱动漏洞。

Digtool 带来 Windows 漏洞挖掘新方向

潘剑锋搭建了 Digtool 系统的虚拟化挖掘框架,这也是 Digtool 最具技术含量的部分,相当于整个系统的基石。其虚拟机监控器原理类似于当前主流的云服务基础虚拟化框架(如 XEN/Hyper-v 等),但并不依赖它们,而是一个新的虚拟化基础框架,含金量极高。

在最近的 Blackhat 演讲中,Google project zero 的成员 j00ru 就引用了冰刃实验室 Digtool 自动化挖掘 Windows 内核信息泄漏漏洞的方法。《Windows Internals》的作者之一 Alex Ionescu 也称赞这是一个「很棒的项目」。冰刃实验室与 j00ru 用了不同的技巧都挖掘到了大量的 windows 内核信息泄露漏洞,但冰刃实验室的 Digtool 速度更快,对于系统的性能损失更小,同时检测漏洞种类也更全面。

可以说,Digtool 的出现让 Windows 内核漏洞挖掘有了质的飞跃。以往的人工挖掘耗时耗力,安全研究员需要一行一行分析代码,Digtool 系统大大提高了漏洞挖掘的自动化程度,改变了漏洞挖掘的运作模式,同时也提高了速度和精准度,能够在第一现场发现漏洞。

全球顶级安全会议首次迎来中国公司独立研究成果的展示

 USENIX Security 是信息安全领域「四大」顶级学术会议(此外还包括 S&P,CCS,NDSS)之一,始于上世纪 90 年代初;同时,USENIX Security 被中国计算机学会 (CCF) 归为「网络与信息安全」A 类会议(共分为 ABC 三类,A 类最佳);被清华大学列为计算机科学与技术系的重要国际学术会议 A 类会议。

截至 2016 年,大陆地区仅数篇被录用,均为包含科研机构的联合研究成果,但尚未有中国公司的独立研究成果被发表。今年,冰刃实验室在 USENIX Security 的投稿被成功收录,意味着 360 成为了独立研究并以第一作者身份发表研究成果的首家中国公司。

今年 USENIX Security 共收到投稿 522 篇,最终收录 85 篇,录用比例不足 16.3%。拥有 24 年历史的顶级安全会议首次迎来中国公司的独立研究成果展示,也标志着在学术安全研究领域,360 也已经达到国际一流水平。

作为 360 系统内核安全研究的顶级团队,仅从 2016 年 2 月至 2017 年 7 月,冰刃实验室就获得了谷歌、微软两大操作系统厂商的 139 次致谢。其中谷歌安卓内核漏洞致谢数目排名全球第一,另外还获得华为致谢 19 次、苹果致谢 2 次,同时还给高通报告 42 个漏洞并得到确认。

360 冰刃实验室(IceSword Lab)是 PC 与移动内核的研发实验室,研究方向是 PC 与移动操作系统内核、安全技术以及虚拟化技术。实验室的诸多研发成果成为安全产品线重要产品以及应用于多个部门的核心产品中,比如客户端沙箱;核晶嵌套硬件虚拟化防护产品;安全卫士 HIPS 的 FD/RD/ND/AD 防护驱动;国内、国际、企业版杀毒产品的监控防御驱动;360WiFi 硬件产品的 PC 端驱动;以及部分 Android 系统产品等。这些成果正在为数亿个人用户和百万企业用户提供安全保障。

最新文章

极客公园

用极客视角,追踪你最不可错过的科技圈。

极客之选

新鲜、有趣的硬件产品,第一时间为你呈现。

顶楼

关注前沿科技,发表最具科技的商业洞见。