Pwn2Own是全世界最著名、奖金最丰厚的黑客大赛，由美国五角大楼网络安全服务商、惠普旗下TippingPoint的项目组ZDI（Zero Day Initiative）主办，谷歌、微软、苹果、Adobe等互联网和软件巨头都对比赛提供支持，通过黑客攻击挑战来完善自身产品。
2007年举办，加拿大温哥华举办的CanSecWest安全峰会上举行。全球顶级黑客大赛Pwn2Own 2015在加拿大温哥华拉开战幕，腾讯电脑管家安全团队首次参赛即攻破IE浏览器PDF插件(Adobe Reader)并拿到该项目冠军成绩，并拿到了系统最高权限，拿到5.5万美元奖金。
2016年3月18日，代表中国出战的腾讯安全Sniper战队凭借总积分38分成为Pwn2Own史上第一个世界总冠军，并且获得这一顶级赛事史上首个“Master of Pwn”（世界破解大师）称号。
2017年3月17日，360安全团队以总积分63分排名Pwn2Own官方积分榜榜首，成功加冕“Master of Pwn”（世界破解大师）总冠军。
2019年，Apple的Safari浏览器以及Oracle VirtualBox和VMware Workstation虚拟化产品在Pwn2Own 2019黑客竞赛的第一天被破解，为研究人员带来了总计24万美元的现金。
最近在加拿大温哥华举行的Pwn2Own 2019与CanSecWest会议同时举办，由趋势科技的Zero Day Initiative（ZDI）组织。今年活动的奖池超过100万美元。此外，在比赛的历史上，参赛者第一次被邀请参加特斯拉3型汽车破解挑战，这可以赚到高达30万美元和一辆汽车。
在活动的第一天，Fluoroacetate团队的Amat Cama和Richard Zhu获得了针对Safari攻击成功的55,000美元奖励。漏洞链包含浏览器中的整数溢出和堆溢出，允许它们逃离沙箱。有趣的是，白帽黑客使用暴力技术逃离沙箱。
同样的研究人员还因黑掉Oracle VirtualBox而获得35,000美元。他们通过使用整数下溢和竞争条件来升级特权并执行任意代码，从而成功进行了第二次尝试。
他们还获得了70,000美元，用于破解VMware Workstation虚拟机并在底层主机操作系统上执行代码。Fluoroacetate团队在第一天总共赚了160,000美元。
使用STAR Labs的在线绰号anhdaden的研究人员也因攻击Oracle VirtualBox而获得35,000美元。他使用了与Fluoroacetate公开的不同的整数下溢来升级特权并在主机上执行代码。
最后，phoenhex＆qwerty团队通过公开如何利用具有内核提升的Apple Safari漏洞获得了45,000美元的奖金。他们利用访问恶意网站的漏洞依赖于即时（JIT）错误，堆栈越界（OOB）读取和使用时间检查（TOCTOU） ）从根到内核的bug。他们可能会赚更多的钱，但似乎苹果已经意识到他们使用的漏洞之一。
在活动的第二天，研究人员将尝试破解Mozilla Firefox和Microsoft Edge浏览器。第三天是特斯拉黑客攻击，两支队伍已经签约。
https://www.securityweek.com/apple-oracle-vmware-software-hacked-pwn2own-2019
声明：本文来自CyberRisk赛伯瑞斯克，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
