转载

Facebook为新类型漏洞发奖金10万刀

近日，Facebook给来自佐治亚理工学院的研究人员颁发了10万美金，用于奖励后者发现了一种基于浏览器可让内存崩溃的新类别漏洞，同时他们还建立了对应的检测技术。Facebook成为继微软之后又一为漏洞及防御技术支付六位数奖励的互联网巨头。

中国留学生获Facebook年度安全大奖

Facebook的网络防御奖在华盛顿USENIX安全研讨会上颁发，奖金是去年的两倍。这个奖项的设立是为了认可和支持在网络防御和保护方面的安全研究。

Facebook安全工程主管Ioannis Papagiannis表示：

“安全研究一般侧重攻击性的研究，而很少关注那些维护系统安全的工作。我们则重视研究互联网中影响海量人群、具有重要意义漏洞的工作。”

Facebook为新类型漏洞发奖金10万刀

今年的赢家花落佐治亚理工学院博士生Byoungyoung Lee和Chengyu Song，以及Taesoo Kim和Wenke Lee二位教授。他们的论文《类型转化验证：停止一个新型攻击向量》解释了一个C++漏洞的新类型并开发了一个检测工具CaVeR。

研究人员在描述CaVeR时这样写道：

“它在编译时执行程序，同时使用一个新的执行期类型跟踪机制——即类型层次结构表——用于克服现存方法的局限性，并且有效地验证类型动态转换。”

Papagiannis称，Facebook希望用资金奖励的方式鼓励研究人员继续从事CaVeR的研究，使它可以得到更大范围的利用及循环使用。

“他们针对的是一个真实世界的安全问题，而这个问题早已被用于攻击那些高频漏洞。因此这个工具可以解决一个重要的问题。”

可以检测新型漏洞的神器：CaVeR

研究人员说，类型转化对于在C++的编程中实现多态性的特征而言非常重要。

“然而，如果出现误用，它可能返回一个不安全以及不正确的值，导致所谓的错误转化或者类型混淆漏洞。由于坏转化允许攻击者在浏览器中破坏内存，使之遵循恶意的逻辑而非正确的指令。尽管越来越多的坏转化漏洞层出不穷，但是坏转化检测问题仍未在安全社区中得到解决。”

Facebook公司的Papagiannis在一份声明中表示，C++支持静态和动态类型转化，但是由于性能原因静态转化常常成为首选：

“因为节省开销，人们通常更喜欢使用静态转化，但是如果你使用静态转化产生一个错误的类型，那程序可能以生成一个能够指向过去的分配给特定对象内存的指针结束。而这个指针可以用于破坏程序的内存。”

CaVeR已然为安全事业做出了卓越的贡献，研究人员使用它可以找到由“坏转化”或者“类型混乱”导致的C++程序中（比如FireFox和Chrome浏览器）的漏洞。

去年，Facebook奖励5万美元给德国波鸿鲁尔大学的两位研究人员Johannes Dahse 和 Thorsten Holz，表彰他们“在Web应用程序中的二阶漏洞静态检测”做出的研究。

Facebook表示他们将在未来的一个月与Dahse和Holz碰面，以评估他们防御工具取得的进展，并考虑是否会将其运用于Facebook内部。

挖漏洞淘金，现在正当时

漏洞的奖励很少遇到金额这么庞大的。微软公司的防御奖，也就是俗称“蓝帽子奖”，在2012年向一名哥伦比亚博士生发放了20万美元，用于奖励其在缓解科技方面的贡献。FreeBuf曾经报道过，同样是研究绕过技术的科研人员惠普Zero Day Initiative团队，今年获得了12.5万美元的奖励，他们的研究发现一种新漏洞可以绕过ASLR（一种针对缓冲区溢出的安全保护技术）。然而，微软表示由于漏洞并没有影响足够多的用户，因此他们不会对其进行补丁，而这促使惠普在六月份公布了漏洞的全部细节和 POC 。

Facebook为新类型漏洞发奖金10万刀

Mitigation Bypass Bounty 始于2013年6月，最高奖金高达10万美元，奖励发现绕过Windows的迁移技术，例如DEP（数据执行保护）、ASLR、SEHOP（结构化异常处理覆盖保护）以及其他等等。2013年获得此奖10万美金的就是发现了新型“缓解旁路衍生”变体的教主tombkeeper。对此，FreeBuf曾详细报道过。而从图上可以看出，教主两次获此殊荣，同时一位安全研究员张云海也获得过此奖。