黑客在Pwn2Own Toronto上以58个零日漏洞赚取超过100万美元

Pwn2Own Toronto 2023黑客大赛已经圆满结束，安全研究人员通过攻击消费类产品的58个零日漏洞（以及多个漏洞碰撞）赚取了1,038,500美元。此次比赛由趋势科技的零日倡议（Zero Day Initiative，简称ZDI）组织，安全研究人员主要针对移动设备和物联网设备展开攻击。

在Pwn2Own Toronto 2023黑客大赛中，安全研究人员们的攻击目标主要集中在移动设备和物联网设备上。这些设备包括苹果iPhone 14、谷歌Pixel 7、三星Galaxy S23和小米13 Pro等移动手机，以及打印机、无线路由器、网络附加存储（NAS）设备、家庭自动化中心、监控系统、智能音箱、谷歌Pixel Watch和Chromecast等设备。这些设备均采用默认配置，并运行最新的安全更新。

尽管没有团队报名攻击苹果iPhone 14和谷歌Pixel 7智能手机，但参赛者们成功攻击了四次经过全面修补的三星Galaxy S23。其中，Pentest Limited团队首先展示了对三星Galaxy S23的零日攻击，利用了输入验证不完善的弱点，成功实现了代码执行，并获得了50,000美元和5个“Pwn之王”（Master of Pwn）积分。STAR Labs SG团队也在比赛第一天成功利用了允许输入的宽松列表，攻击了三星旗舰手机，并获得了25,000美元（第二轮攻击同一设备的奖金减半）和5个“Pwn之王”积分。Interrupt Labs团队和ToChim团队在比赛第二天利用了允许输入的宽松列表和另一个输入验证不完善的弱点，成功攻击了Galaxy S22。

在今年3月的Pwn2Own Vancouver 2023比赛中，参赛者们通过攻击27个零日漏洞（以及多个漏洞碰撞）赢得了1,035,000美元和一辆特斯拉Model 3汽车。

如果你对Pwn2Own Toronto 2023黑客大赛感兴趣，你可以在这里找到完整的比赛日程安排。同时，你也可以在这里查看Pwn2Own Toronto 2023第一天的完整日程和每个挑战的结果。