中国黑客专找苹果软件漏洞盈利超25万美元

美国《福布斯》杂志网络版今天撰文称，中国安全研究员吴石发现的浏览器漏洞中，有半数都来自苹果Safari浏览器。他认为，苹果借助较小的市场份 额而免受安全问题的困扰的日子将一去不复返。

    以下为文章概要：

    无名英雄吴石

    如果说“严厉的爱”是解决软件故障的最佳方法，那么吴石（Wu Shi，音译）或许就是信息安全领域众多的无名英雄之一。

    自2007年以来，这位家住上海的35岁研究员已经发现并报告了IE、Safari和Chrome等浏览器中存在的100多个严重漏洞。当用户浏览被感染 的网页时，黑客可以借助这些漏洞劫持用户的电脑。仅去年一年，他就将其中50多个漏洞出售给了Zero Day Initiative（以下简称“ZDI”）和iDefense等漏洞悬赏项目。这两个项目分别归属于惠普和VeriSign，他们专门花钱从研究人员那 里购买漏洞信息，并在安全产品中使用这些数据，随后再将其交给受影响的软件厂商。

    这表明吴石一年汇报给ZDI和iDefense的漏洞比全世界任何一个研究人员都多，其中超过半数都来自苹果Safari浏览器。

    例如，在上月的一次安全更新中，苹果针对iPhone操作系统发布了64个新补丁，其中只有6个是苹果内部研究人员自己发现的，12个由谷歌研究人员发 现，还有15个是由吴石发现的。

    安全专家查理?米勒（Charlie Miller）说：“或许苹果应当聘请吴石来帮助他们，因为他发现的漏洞是苹果整个安全团队的两倍还多。”

    独特fuzzing算法

    吴石通过即时通讯和电子邮件解释了他是如何使用一种名为“fuzzing”的方法来收集这些漏洞的。使用这种方法时，需要向软件中输入大批经过修改的文 件，以便查看哪些文件会导致软件崩溃。之后再对这些崩溃事件进行分析，以便了解哪些情况会允许黑客注入代码并控制浏览器。

    吴石使用他自己的独特算法来生成这些测试文件，然后将他们抛入Apache Tomcat服务器。通过这种方法，他就可以获得更快的频率，从而比普通研究人员测试更多的样本。与以往只更改文件中的单一变量不同，吴石表示，他的方法 会更改整个样本，而且能够在进行尽可能多的更改的同时，仍然让浏览器将文件识别为HTML文档。“我的fuzzing框架关注的是软件架构，而不是细 节。”吴石说。

    ZDI研究经理亚伦?波托尼（Aaron Portnoy）对吴石发现的漏洞进行了研究，他表示，吴石不会对他所发现的漏洞进行深入分析。但他认为，这名中国研究员使用的方法可以捕捉到其他方法无 法发现的漏洞。“这些文件中的相关项目有着复杂的层次结构。他可以改变关系树结构的工作方式，而不仅仅是其中的一个项目。”波托尼说，“很多人只是 fuzz数据，而他则是fuzz关系。”

    曲折从业经历

    吴石说，他是在职业发展经历了一系列挫折后才在漏洞寻找领域实现突破的。当中国股市2006年开始一轮波澜壮阔的大牛市时，当时在一家小型IT公司任职的 吴石感觉他的职业像是一艘逐渐沉没的船。他说：“我感觉正在逐渐陷入绝望。以我的工资，甚至无法糊口。”

    他后来离开了那家IT公司，并且创建了一家基于P2P文件分享技术的企业。但是当一家大客户拒绝履行承诺为一个主要项目支付报酬时，他的合作伙伴找了另外 一份工作，公司也破产了。

    吴石开始组建一家安全咨询公司，并实验他早年在复旦大学读书时想到的一个fuzzing方法。他发现了微软的一些安全漏洞，并且直接将其报告给微软。后 来，他从朋友那里得知了ZDI这样的“漏洞购买”项目。“从那以后，我就变成了一名全职漏洞猎手。”他说。

    这一决定已经有所收获。ZDI从吴石那里购买了50个漏洞，每个都至少价值5000美元，而iDefense某些情况下支付的费用甚至超过1万美元。吴石 并没有透露具体收益，但通过简单计算便可获知，他的收益超过25万美元，这在中国可是很大一笔钱。ZDI还为吴石授予“白金”（platinum status）奖，该奖项的获得者可以拿到2万美元的奖金，并免费参加在美国拉斯维加斯举行的“黑帽”（Black Hat）安全大会。

    苹果安全性低下

    一个中国研究员手中握有数百个重要漏洞，会使某些人感到担忧。但是吴石表示，他只会将漏洞卖给那些“不作恶”的企业，而且会直接将漏洞报告给受影响的软件 公司。他表示，某些黑市买家给出十倍于ZDI的出价购买他发现的一些IE漏洞。且不说是否存在道德问题，吴石并不希望卷入任何犯罪行为。

    即便如此，如此多的漏洞被吴石发现仍然可能产生麻烦，对苹果软件而言尤其如此。吴石表示，他之所以关注苹果的漏洞，是因为苹果自己不关注这一问题。

    苹果尚未对此置评。

    微软十年来一直在与网络攻击做斗争，也因此而变得坚固。例如“红色代码”蠕虫病毒曾于2001年感染了数万台电脑，还有很多网站因此被黑，并被挂上了 “Hacked By Chinese！”（被中国人黑了）的标语。而苹果则因为多年以来一直被网络犯罪分子忽略而变得有些自满。

    但吴石认为，这种安逸的状况不会延续下去。随着有针对性的攻击越来越多，苹果无法再因为市场份额较小而免受安全问题的困扰。他说：“iPhone和Mac OS比Windows 7更容易攻击。我认为，未来将有很多针对苹果软件的攻击。”