10 月 29 日消息，为期三天的 Pwn2Own 2023 黑客大赛已在当地时间 10 月 27 日落下帷幕，本次大会在加拿大多伦多举行，黑客可借助各种漏洞攻击消费类电子产品，从而获得相应的赏金和 Master of Pwn 积分。
Pwn2Own 黑客大赛是由惠普旗下 TippingPoint 的项目组 ZDI(Zero Day Initiative)主办的，谷歌、微软、苹果、Adobe 等科技巨头都对此比赛提供支持，是全世界最著名、奖金最丰厚的黑客大赛。
据介绍，安全研究人员通过利用 58 个零日漏洞(以及多个漏洞碰撞)来攻击消费类产品，共计产生了 103.85 万美元的奖金。
这些零日漏洞针对多家厂商设备，包括小米、西部数据、群晖、佳能、利盟、Sonos、TP-Link、威联通、Wyze 和惠普。一旦这些零日漏洞被报告给厂商，厂商需在 ZDI 公开披露这些漏洞之前的 120 天时间里推出更新补丁。
在活动期间，安全研究人员以移动和物联网设备为目标，提供了包括手机(iPhone 14、 Pixel 7、三星 Galaxy S23 和小米 13 Pro)、打印机、无线路由器、NAS 设备、家庭自动化中心、监控系统、智能音响 以及谷歌的 Pixel Watch 和 Chromecast 等在内的设备，且所有设备都处于默认配置并运行最新的安全更新。
比赛结果显示，没有一支团队报名入侵苹果 iPhone 14 和谷歌 Pixel 7 智能手机，但参赛者还是四次成功入侵了打满补丁的三星 Galaxy S23。据IT之家此前报道，该活动举办首日，三星 Galaxy S23 就已被成功入侵 2 次，其中 Pentest Limited 团队利用不正确的输入验证漏洞，可以执行任意代码，从而赢得了 5 万美元赏金和 5 个 Master of Pwn 积分。
STAR Labs SG 团队在第二轮比赛中再次通过输入的许可列表，入侵 Galaxy S23 手机，从而赢得了 2.5 万美元赏金和 5 个 Master of Pwn 积分。
此外，NCC Group 团队成功破解小米 13 Pro 手机，获得了 2 万美元赏金和 4 个 Master of Pwn 积分。
点击阅读全文
