2017 Pwnie 奖得主名单出炉 WannaCry获“最强伤害”

安全社区最好的和最坏的都在美国黑帽大会年度Pwnie奖上得到了承认

7月26日，美国黑帽安全大会上，2017 Pwnie奖得主名单出炉。该年度庆典奖励的是安全社区那些最好的和最坏的家伙。人们事先提名他们心目中去年的最大成就与最严重失败，再由安全人员组成的委员会在每个类别的提名者中选出最优的。

今年的Pwnie奖赢家是：

1. 最佳服务器端漏洞

该奖项得主，是发现或利用了最具技术复杂性、最有趣服务器端漏洞的人。该门类下共有6个提名，最终花落NSA大名鼎鼎的“方程式小组”，因为他们发现并利用了CVE-2017-0143、0144和0145。

公众开始认识到这些漏洞，最初是因为“影子经纪人”的拍卖闹剧。此后不久，数次勒索软件攻击轮番上演，把Windows主机打击得渣都不剩。还直接导致微软采取了前所未见的补丁放出措施，甚至已经过了支持期的操作系统版本，比如 Windows XP ，都享受到了补丁支持。

相关阅读

影子经纪人发起众筹 价格降到1万比特币

美国国家安全局被黑 顶尖黑客工具打包售价5.65亿美元

2. 最佳客户端漏洞

最复杂且有趣的客户端漏洞有5个提名，奖项最终颁给了莱恩·汉森、李海飞(音)、孙兵(音)和几个未透露姓名的黑客，因为他们发现了微软Office OLE2Link URL Moniker/Script Moniker(CVE-2017-0199)漏洞。该漏洞被称为是“平行发现的实例”，是两个不同的缺陷，反映了微软Office对OLE对象的错误处理，甚至就在某未知方积极利用其中一个缺陷进行鱼叉式网络钓鱼攻击的时候。

这俩漏洞可绕过所有基于内存的攻击缓解措施，针对 Windows 10 和 Office 2016，且两种攻击方法都成为了渗透测试员和零散黑帽子的最爱。

3. 最佳提权漏洞

该分类下的最佳头衔，被Drammer（对移动平台的确定性Rowhammer攻击）多名研究人员获得：维克多·范德维恩、雅尼克·弗拉坦托尼奥、玛蒂娜·林多弗、丹尼尔·格拉斯、克莱门汀·毛莱斯、吉尔瓦尼·魏格纳、赫伯特·波斯、卡威·拉扎维和克里斯蒂亚诺·朱弗里达。

利用Rowhammer硬件漏洞的攻击不算新鲜，但Drammer对Rowhammer的利用，可使攻击者隐身在无需权限的恶意App中远程控制安卓设备。数百万安卓手机陷身风险之中。提名中将该提权漏洞描述为，“移动计算Rowhammer攻击非常恐怖。你触碰不到它们，只能期望它们不会找上你。”

相关阅读

这种基于硬件的攻击 无需软件漏洞和用户许可

4. 最佳密码攻击

谷歌及荷兰国家数学和计算机科学研究所CWI的研究人员，因首破SHA-1互联网安全标准，而获此殊荣。提名中讲到：“SHAttered攻击团队产生了首个已知的SHA-1完整碰撞。该团队生产了可产生相同SHA-1散列的两个不同PDF文档。其中所用技术的破解速度，比依赖生日悖论的暴力破解攻击快了10万倍，让该攻击具备了实际可行性——只要有良好的资金支持即可。

该奖项的幻灯片中提到了“宁录·阿维拉姆等”。但阿维拉姆表示，他不是SHAttered的合著者。最佳密码攻击奖提名了SHAttered方法的以下贡献者：马克·史蒂文斯、皮埃尔·卡普曼、昂热·阿尔贝蒂尼和亚力克·马可夫。

相关阅读

还没迁移到SHA-2？赶紧吧！

首次SHA-1碰撞攻击实现 只需5个聪明的大脑和6610年的处理器时间

5. 最佳后门

M.E.Doc 获颁此奖，因为该会计软件公司的服务器被入侵，并用于投送后门到使用该软件的乌克兰公司企业中。M.E.Doc 据传是NotPetya的“零号病例”。Pwnie奖称该后门是“完全非俄罗斯的。”

6. 最佳营销

Atlassian安全团队因GhostButt漏洞，获得Pwnie最佳营销/炒作奖。提名中写道：“Ghostbutt(CVE-2017-8291)五脏俱全，有网站，有聪明的标志，并通过将漏洞利用做到标志里而更加机智了。当然，取名也很艺术，-butt后缀很形象。在线商店倒是没有，但确实有首歌。”

7. 最创新研究

本·格拉斯、卡威·拉扎维、埃里克·柏斯曼、赫伯特·波斯和克里斯蒂亚诺·朱弗里达，因ASLR（地址空间布局随机化）研究或颁此奖。这些研究员提出了基于内存访问时机捕捉的通用ASLR规避措施。该方法通过大多数浏览器默认使用JavaScript起效，且不是一个能轻易修复的东西。

相关阅读

ASLR遭破解：这可能是最难修复的大规模漏洞

8. 最差劲厂商响应

连纳特·波特林因SystemD的5998、6225、6214、5144、6237漏洞，而赢得厂商最差劲安全漏洞响应奖。提名中写道：“对空指针解引用，或者写越界，或者不支持完全限定域名，或者将root权限赋予用户名以数字开头的用户，CVE编号都不会在变更日志或提交信息中被引用。但CVE真的已经不再是我们的通行货币了，只有最差劲的厂商才能获得Pwnie奖！”

相关阅读

CVE虽然生的伟大但已落后太多 原因竟然是……

9. 最壮观失败

排名前几位的是：The Intercept——暴露了NSA承包商 Reality Winner 的泄密者身份；CloudFlare——云滴血漏洞；卡巴斯基——其安全浏览器中的一个漏洞。但最后赢家是澳大利亚政府，尤其是澳大利亚总理马尔科姆·特恩布尔。

当被问及数学定律是否胜过澳大利亚法律时，特恩布尔回答：“澳大利亚法律在澳洲很是盛行，这点我可以保证。数学定律是很棒的，但适用于澳大利亚的唯一律法，只有澳大利亚法律。”

10. 终身成就奖

没有提名名单，但FX获此殊荣。

11. 最强伤害

因波及范围甚广，该奖项花落WannaCry——被认为是朝鲜所为（存疑），以及“影子经纪人”——被认为是俄罗斯，必须是俄罗斯人干的。

相关阅读

WannaCry爆发的根源原来是它？

我不是英雄：是他干掉了WannaCry的域名开关

Pwnie奖官网尚未更新今年的获奖者名单。于是，最大成就、最过度炒作漏洞和最佳歌曲还有待观望。

相关阅读

Pwnie Awards–2015漏洞奥斯卡奖提名名单