百科全书

当前位置/ 首页/ 要闻频道/百科全书/ 正文

由NSS Labs的研究人员推出的独立渗透测试网站ExploitHub

导读 由NSS Labs经营的渗透测试网站ExploitHub宣布了一项漏洞赏金计划,供研究人员针对Microsoft和Adobe产品中的12个高价值漏洞开发漏洞利用程...

由NSS Labs经营的渗透测试网站ExploitHub宣布了一项漏洞赏金计划,供研究人员针对Microsoft和Adobe产品中的12个高价值漏洞开发漏洞利用程序。ExploitHub在10月5日的公告中说,渗透测试网站在Microsoft Internet Explorer和Adobe Flash Player中识别出ldquo;肮脏的rdquo;几十个客户端漏洞,并提供了总计4,400美元的可利用漏洞。参与研究的人员将通过网站提交漏洞利用,以获取个人奖励,金额从100美元到500美元不等。研究人员还保留在市场上出售这些漏洞以赚取额外收入的权利。

影响典型的企业网络,错误不是零天,并且已被先前披露。漏洞利用必须是可导致远程代码执行的客户端远程漏洞利用,并且必须针对以下漏洞,这些漏洞由其常见漏洞和披露(CVE)编号标识:CVE-2011-1256,CVE-2011-1266, CVE-2011-1261,CVE-2011-1262,CVE-2011-1963,CVE-2011-1964,CVE-2011-0094,CVE-2011-0038,CVE-2011-0035,CVE-2010-3346,CVE- 2011-2110和CVE-2011-0628。

NSS Labs首席执行官Rick Moy说:ldquo;客户端攻击是现代攻击的首选武器,包括鱼叉式网络钓鱼和所谓的APT(高级持续性威胁)。安全专业人员需要跟上。rdquo; ldquo;该计划旨在加速测试工具的开发,并帮助研究人员通过做好事来做好。rdquo;

根据程序规则,导致拒绝服务的利用程序将不符合本程序的资格,也无法在Metasploit或其他利用程序工具包中使用。

在软件供应商之间,悬赏仍有争议。Mozilla和Google定期向研究人员付款,以披露其产品中的漏洞。

实际上,Google针对其Chrome Web浏览器的最新更新包括七个ldquo;高风险rdquo;安全漏洞,这些漏洞使Windows,Mac OS X和Linux用户受到恶意攻击。Google向研究人员支付了10,000美元,以解决其中的5个错误,赏金范围从1,000美元的文本处理问题到4,500美元的ldquo;事后抢救rdquo;缺陷。研究人员谢尔盖middot;格拉祖诺夫(Sergey Glazunov)仅在这次Chrome更新中就赚了8,000美元。

Mozilla基础设施安全高级经理Michael Coates在9月23日举行的OWASP AppSec USA会议上的讲话中说,自2010年12月启动Web赏金计划以来,Mozilla已经支付了104,000美元的奖励。浏览器及其Web属性的子集。根据Coates于9月27日在网上发布的OWASP演示文稿的幻灯片,在自程序启动以来提交给Mozilla的175个错误中,只有64%实际上有资格获得奖励。

根据严重性,研究人员可获得最高3,000美元的错误赔偿。此外,60%的错误是跨站点脚本缺陷,10%是跨站点请求伪造。支付的钱中有将近75%用于价值3,000美元的高优先级错误。

另一方面,微软和Adobe放弃了奖励计划。Adobe产品安全和隐私高级总监Brad Arkin告诉eWEEK,Adobe认为提供漏洞赏金并不能真正帮助公司保护客户。取而代之的是,Adobe建立关系以吸引研究人员作为承包商来测试和发现漏洞。通过这种方式,该公司可以为研究人员提供适当的工具和工作环境,阿金说。

微软没有在今年的黑帽安全大会上发起ldquo; 蓝帽 rdquo;竞赛,以鼓励研究人员开发缓解技术,以防止攻击者利用内存漏洞来奖励研究人员发现漏洞。该公司将在Black Hat 2012上宣布获奖者并颁发25万美元的现金奖励。

Arkin说,他有兴趣了解Blue Hat如何发挥作用,以确定是否可以为Adobe采用这种模型。

免责声明:本文由用户上传,如有侵权请联系删除!