亮相Black Hat Asia 2023，360公開發布重磅漏洞研究成果
近日，Black Hat Asia 2023（亞洲黑帽大會）在新加坡如期拉開帷幕。作為公認的世界信息安全行業最高盛會，Black Hat 每年都會向外界持續輸送出最新的安全研究成果、創新技術等前沿資訊，是展現全球安全發展風向的最好窗口。
自2014年起，360已連續十年登上Black Hat全球黑帽大會的舞臺，在本屆Black Hat Aisa大會中，360數字安全集團再度受邀參會，旗下360漏洞研究院的安全專家宣布，他們開發了一種基於語法樹和上下文分析的語法變異Fuzz，以便在Chrome中尋找WebSQL高危漏洞。
他們表示：“隨著Chrome逐步對傳統RCE攻擊面（V8和Blink）增加了緩解機制，使得攻擊難度大大增加，因此通過WebSQL API借助攻擊底層SQLite引擎來攻擊Chrome再次受到了我們的關注。自2020年以來，我們的Fuzzer發現了絕大部分Chrome WebSQL漏洞，包括多個釋放後使用漏洞、棧溢出和越界讀寫漏洞。”
在該演講中，他們詳細介紹了該Fuzzer的工作原理和優點，包括通過構建完整的語法樹來保證語法的有效性，通過上下文分析指導變異策略，實現更好的語義有效性，以及實現更好的種子篩選機制和基於覆蓋率引導的樹節點變異方法。
盡管Chrome WebSQL的白名單得到了增強，2020年之後Chrome中的WebSQL漏洞大大減少，但該Fuzzer仍然持續發現新的高危WebSQL漏洞。這些漏洞可能導致任意地址讀取、棧溢出和越界寫入等影響，通過這些漏洞可以完全控制內存布局，劫持部分寄存器，實現任意地址讀取，造成信息泄漏，甚至可以實現遠程代碼執行（RCE）。
他們還強調，SQLite在Chrome中是一個容易被忽視的弱點，引入第三方庫總是伴隨著一些安全隱患。該Fuzzer可以改善SQL Fuzzer的語法有效性和語義有效性，從而發現更多的SQLite漏洞。他們表示，該Fuzz方法適用於所有的語法類目標，通過為不同目標構建所需的上下文分析，可以將這套Fuzzer應用到更多的平臺或目標上。
在本屆Black Hat Asia中，360漏洞研究院提交的這一極具研究價值的安全成果，再度向世界展現出中國安全力量的蓬勃脈動。在此之前，360漏洞研究院憑借著一次又一次震撼全球的安全實力，不僅成為微軟MSRC、天府杯等國際獎項中屠榜的“常客”，還榮膺中國首個“The Pwnie Awards”史詩級成就獎和最佳提權漏洞獎，更是連續多年獲穀歌官方漏洞獎勵計劃年報（VRP）公開致謝。
-
本文分類： 公司新聞
-
浏覽次數： 8233 次浏覽
-
發布日期： 2023-05-19 11:44:29
-
華諾科技與360億方雲達成戰略合作，共推AI大模型產業化落地 -
360億方雲AI增值服務上線，超大限時優惠等你來！ -
央企控股上市公司引入360億方雲企業網盤，搭建智慧協同雲平臺 -
中國水利水電第七工程局、北京石油化工學院等簽約360億方雲
您可能感興趣的文章
- 360AI知識庫「寫作模式」升級！給團隊一位懂業務的AI寫作夥伴
- 360億方智能入選艾瑞企業級AI Agent卓越者，陝西鐵路職院“鐵小智”入選典型案例
- 360AI知識智能城市巡演成都站舉行：讓客戶看見價值，讓夥伴找到增長
- 360億方智能入選《2026愛分析·Data+AI廠商全景報告》，四大核心能力獲認可
- 大咖、案例、落地路徑全都有！8月13日成都站精彩議程搶先看
- 40+開箱即用的法律AI技能，七類高頻工作都有AI搭把手
- 傳統知識庫為什麼撐不起Agent的“上下文”？
- 360AI知識庫教育版正式發布，讓每一所學校，擁有真正可用的AI
- 一家3000人的頭部律所，想給自己留下點“帶不走”的東西
- 估值3000億美元的Palantir給AI落地指明了什麼路？
熱門推薦
最新推薦
- ISC.AI.2026· 數智化轉型資料合集
- 中國信通院·企業級智能體技術與應用研究報告（2026年）
- 走向Agent-Native！360AI知識庫打通業務底座，讓人與AI自然協同
- 告別重複勞動，億方雲如何讓多家律所跑出「AI加速度」？
- OpenClaw x 億方雲Skill：用OpenClaw調教出的“AI團隊”，比我本人還卷
- OpenClaw × 億方雲｜能幹活、有記憶、懂業務，這才是企業想要的“數字員工”
- 航空AI白皮書發布，重塑航空未來，讓知識成為生產力
- 360億方智能 ·航空AI白皮書
- 智慧升級，教育革新：200+高校選擇360億方雲，共繪智慧校園藍圖
- 亮相2024 AI+研發數字(AiDD)峰會，360智能文檔雲引領行業AI生態建設
企業雲盤
AI 知識庫
浙公網安備 33011002015048號
在線客服
電話諮詢