研究人员在Pwn2Own黑客大赛中破解了微软的ie 11、Mozilla的Firefox和Adobe的Flash和Reader，并赢得了40万美元的奖金，创下了这项挑战的单日最高纪录。
在本周三举行的Pwn2Own黑客大赛中，研究人员成功破解了微软IE11 (IE11)、Mozilla的Firefox和Adobe的Flash及Reader软件，并赢得了40万美元的奖金，创下了这项比赛的单日大奖纪录。
Pwn2Own今天还在继续，其他团队和个人研究人员将轮流尝试破解苹果的Safari浏览器和谷歌的Chrome浏览器。
周三，来自法国漏洞研究公司Vupen的一个团队赚了30万美元。该公司向政府和执法机构提供零日漏洞，他们在一天之内攻击了Adobe Flash、Adobe Reader、Firefox和IE11，这是另一项纪录。
在六个多小时的时间里，Firefox一共被攻击了三次，一次是Vupen，另外两次是研究员Mariusz Mlynski和Jri Aedla，每个赢家都可以从他们的攻击中获得5万美元。
虽然Pwn2Own原本只会为第一个攻击每个目标的黑客提供现金奖励，但竞赛组织者、惠普公司的“零日行动”(ZDI)却立即改变了基本规则，于周三早些时候表示，将为选手使用的所有漏洞支付费用。
作为HP TippingPoint项目的一部分，ZDI表示，它和联合赞助商谷歌——后者提供25%的奖金——如果所有15名参赛者都成功了，将支付超过100万美元的奖金。
周三的努力本身就令人印象深刻，每个预定目标都在五分钟内落到了研究人员的肩上。参赛者带着零日漏洞和漏洞来到Pwn2Own，他们并没有发现漏洞和现场编写攻击代码。
在Pwn2Own第一天结束后的一次采访中，ZDI的漏洞研究经理Brian Gorenc说:“所有的漏洞都是独一无二的。”Gorenc拒绝指出最令人印象深刻或最优雅的开发。“看到研究人员绕过沙箱的不同方式，以及它们将多个弱点串联起来的方式，真是令人着迷。”
“沙箱”是一种anti-exploit技术部署了一些软件,Internet Explorer, Flash和读者都依靠沙箱,目的是隔离应用程序如果攻击者发现代码中的一个漏洞,他们必须规避,或“逃跑”沙箱,恶意代码的机器上执行。沙箱转义通常需要使用两个或多个漏洞。
当天的总成交额接近40万美元去年pwn2的两天支付额为48万美元。
当天，Vupen首先破解了Adobe Reader软件，并赢得了7.5万美元的奖金。
我们已经pwnd adobereader XI与堆溢出+ PDF沙箱转义(不依赖内核缺陷)。已向Adobe报告漏洞! "Vupen该公司在其推特账户上表示。
接下来的是运行微软最新操作系统Windows 8.1的笔记本电脑上的IE11。Vupen说:“我们已经在win8.1上pwnd IE11，使用后免后用的组合，在代理中混淆对象，以绕过IE沙箱。宣布他在推特上说，这次黑客攻击已经赚了10万美元。
“免后使用”是一种内存管理bug的术语，而“broker”是沙箱中充当所有受保护进程的监督者的部分的标签。正如Vupen所演示的，代理中的一个缺陷可能会产生灾难性的影响，让黑客逃离沙箱并执行攻击代码。
Vupen还利用了Adobe Flash和Mozilla的开源浏览器Firefox，分别赢得了7.5万美元和5万美元的奖金。
Mlynski和Aedla因黑客攻击Firefox而每人获得5万美元奖金。Gorenc证实这三次Firefox尝试都利用了不同的漏洞。
Mlynski和Aedla都是经验丰富的研究人员:Mlynski报告了几个Firefox浏览器安全团队的漏洞，而Aedla通过在2011年和2012年向谷歌提交大量Chrome漏洞，获得了超过1万美元的漏洞奖励。
TippingPoint和它的ZDI bounty计划自2007年开始就赞助或共同赞助了Pwn2Own。在研究人员提交了他们用来攻击目标的漏洞和他们的攻击代码之后，ZDI确认了结果，然后将信息传递给相关的供应商，他们都有代表在场，随时准备进行修补。
谈到Pwn2Own周三的顺利运行，ZDI的Gorenc说:“我认为我们这次打得非常棒。”“我们给每位参赛者30分钟的时间，但他们中的大多数人在几分钟内展示了自己的表现，所有人都在5分钟内展示了自己的表现，然后利用剩余的时间去了供应商等待的公开室。”
Pwn2Own全球开幕之前周三中午PT CanSecWest——温哥华,不列颠哥伦比亚省安全会议,举办了比赛过去八年——ZDI和谷歌发起新的挑战,被称为“Pwn4Fun”的两个赞助商筹集了82500美元加拿大红十字会凭自己的缺陷和漏洞。
Gorenc表示，谷歌团队在Pwn4Fun破解了苹果的Safari浏览器，而ZDI则对IE11进行了多攻击，并披露了其研究人员在过去两周内发现的另外六个ie浏览器漏洞。
一些已经在上周批评谷歌和推特ZDI Pwn4Fun,认为由于两队“倾斜”漏洞用于慈善,他们被虚伪没有立即通知供应商——苹果和微软在这种情况下的错误。
但Gorenc捍卫了Pwn4Fun。Gorenc说:“我们[通过Pwn4Fun]使浏览器更加安全，我们对此感到很兴奋。”
Pwn2Own今天还在继续，Vupen和几个独立的研究人员准备对付苹果的Safari和谷歌的Chrome浏览器，而其他人则在尝试Adobe Flash, Firefox和ie浏览器。
在今天安排的参赛者中有乔治霍兹，也被称为“geohot”，一个著名的iPhone和索尼PlayStation 3黑客，他将尝试他的手打破火狐。Hotz参加了之前的Pwn2Own挑战赛，包括去年，他利用Adobe Reader获得了7万美元的奖金。
昨天,谷歌举办了为期一天的“Pwnium 4”比赛在CanSecWest大会上，研究人员与Chrome OS展开了较量，Chrome OS是一种基于浏览器的操作系统，为Chromebook笔记本电脑提供了动力。根据一项公司发布在谷歌+上在美国，一位研究人员成功地在惠普Chromebook 11上开发了Chrome操作系统，赢得了该笔记本电脑和15万美元的奖金。
谷歌写道:“我们将考虑对同一平台上的另一位研究人员给予部分表彰。”谷歌还表示，在CanSecWest周五得出结论后，他们将发表一篇更长的综述。
ZDI已经发布了一个简要描述在其网站上公布了调查结果。
“这是第一次在白帽市场，”Gorenc说第一天的总奖金40万美元。“两天之内，我们可能会为负责任地披露的漏洞支付100多万美元。我们很高兴能这样做。”
这篇文章中,研究人员在Pwn2Own黑客大赛第一天就赚了40万美元，最初发表于Computerworld.com。
格雷格Keizer为计算机世界涵盖微软，安全问题，苹果，网络浏览器和一般技术的突发新闻。在推特上关注格雷格@gkeizer,在Google +或订阅格雷格的RSS提要。他的电子邮件地址是gkeizer@computerworld.com。
看到更多信息由Gregg Keizer在Computerworld.com上发布。
阅读更多关于网络犯罪和黑客的内容在计算机世界的网络犯罪和黑客话题中心。
这篇文章，“研究人员在Pwn2Own黑客大赛第一天口袋创纪录的40万美元”最初发表于《计算机世界》 。