亮相Black Hat Asia 2023，360公開發布重磅漏洞研究成果
近日，Black Hat Asia 2023（亞洲黑帽大會）在新加坡如期拉開帷幕。作為公認的世界信息安全行業最高盛會，Black Hat 每年都會向外界持續輸送出最新的安全研究成果、創新技術等前沿資訊，是展現全球安全發展風向的最好窗口。
自2014年起，360已連續十年登上Black Hat全球黑帽大會的舞臺，在本屆Black Hat Aisa大會中，360數字安全集團再度受邀參會，旗下360漏洞研究院的安全專家宣布，他們開發了一種基於語法樹和上下文分析的語法變異Fuzz，以便在Chrome中尋找WebSQL高危漏洞。
他們表示：“隨著Chrome逐步對傳統RCE攻擊面（V8和Blink）增加了緩解機制，使得攻擊難度大大增加，因此通過WebSQL API借助攻擊底層SQLite引擎來攻擊Chrome再次受到了我們的關注。自2020年以來，我們的Fuzzer發現了絕大部分Chrome WebSQL漏洞，包括多個釋放後使用漏洞、棧溢出和越界讀寫漏洞。”
在該演講中，他們詳細介紹了該Fuzzer的工作原理和優點，包括通過構建完整的語法樹來保證語法的有效性，通過上下文分析指導變異策略，實現更好的語義有效性，以及實現更好的種子篩選機制和基於覆蓋率引導的樹節點變異方法。
盡管Chrome WebSQL的白名單得到了增強，2020年之後Chrome中的WebSQL漏洞大大減少，但該Fuzzer仍然持續發現新的高危WebSQL漏洞。這些漏洞可能導致任意地址讀取、棧溢出和越界寫入等影響，通過這些漏洞可以完全控制內存布局，劫持部分寄存器，實現任意地址讀取，造成信息泄漏，甚至可以實現遠程代碼執行（RCE）。
他們還強調，SQLite在Chrome中是一個容易被忽視的弱點，引入第三方庫總是伴隨著一些安全隱患。該Fuzzer可以改善SQL Fuzzer的語法有效性和語義有效性，從而發現更多的SQLite漏洞。他們表示，該Fuzz方法適用於所有的語法類目標，通過為不同目標構建所需的上下文分析，可以將這套Fuzzer應用到更多的平臺或目標上。
在本屆Black Hat Asia中，360漏洞研究院提交的這一極具研究價值的安全成果，再度向世界展現出中國安全力量的蓬勃脈動。在此之前，360漏洞研究院憑借著一次又一次震撼全球的安全實力，不僅成為微軟MSRC、天府杯等國際獎項中屠榜的“常客”，還榮膺中國首個“The Pwnie Awards”史詩級成就獎和最佳提權漏洞獎，更是連續多年獲穀歌官方漏洞獎勵計劃年報（VRP）公開致謝。
-
本文分類： 公司新聞
-
浏覽次數： 8264 次浏覽
-
發布日期： 2023-05-19 11:44:29
-
華諾科技與360億方雲達成戰略合作，共推AI大模型產業化落地 -
360億方雲AI增值服務上線，超大限時優惠等你來！ -
央企控股上市公司引入360億方雲企業網盤，搭建智慧協同雲平臺 -
中國水利水電第七工程局、北京石油化工學院等簽約360億方雲
您可能感興趣的文章
- 企業AI知識庫：一半是火焰，一半是廢品
- 8月&9月產品更新回顧｜讓資料更好找，讓知識用起來
- 360 制造行業知識管理解決方案
- 新疆喀什地區某縣委機關與360億方智能成功簽約，共同推進政務辦公數字化升級！
- 放假前最後10分鐘，把散落的工作資料收進知識庫
- 360億方智能提供全程技術支持，助力泉州市數據應用職業技能競賽圓滿舉辦
- 企業關注的不再是“如何存儲文件”——IDC解讀中國智能企業內容與知識平臺市場
- 從“能回答”到“敢用於業務”：企業知識庫如何建立可信鏈路？
- IDC中國智能企業內容與知識平臺市場份額：360億方智能私有化市場第二，增速第一！
- 京新藥業攜手360億方智能，共建AI知識庫，讓醫藥知識常用常「新」
熱門推薦
最新推薦
- ISC.AI.2026· 數智化轉型資料合集
- 中國信通院·企業級智能體技術與應用研究報告（2026年）
- 走向Agent-Native！360AI知識庫打通業務底座，讓人與AI自然協同
- 告別重複勞動，億方雲如何讓多家律所跑出「AI加速度」？
- OpenClaw x 億方雲Skill：用OpenClaw調教出的“AI團隊”，比我本人還卷
- OpenClaw × 億方雲｜能幹活、有記憶、懂業務，這才是企業想要的“數字員工”
- 航空AI白皮書發布，重塑航空未來，讓知識成為生產力
- 360億方智能 ·航空AI白皮書
- 智慧升級，教育革新：200+高校選擇360億方雲，共繪智慧校園藍圖
- 亮相2024 AI+研發數字(AiDD)峰會，360智能文檔雲引領行業AI生態建設
企業雲盤
AI 知識庫
浙公網安備 33011002015048號
在線客服
電話諮詢