2022“補(bǔ)天杯”破解大賽獲獎(jiǎng)名單公布

12月29日，2022“補(bǔ)天杯”破解大賽決賽在線上進(jìn)行。資格審核階段，在所有報(bào)名的項(xiàng)目中最終選擇了10個(gè)項(xiàng)目進(jìn)入復(fù)賽，經(jīng)過專家評(píng)審、漏洞復(fù)現(xiàn)環(huán)節(jié)，主辦方公布了最終獲獎(jiǎng)名單：W0rk憑借發(fā)現(xiàn)的某國(guó)際知名廠商防火墻漏洞獲得一等獎(jiǎng)，Rivaille憑借發(fā)現(xiàn)的某企業(yè)級(jí)路由器漏洞獲得二等獎(jiǎng)，balisong憑借提交的NAS設(shè)備漏洞獲得三等獎(jiǎng)。

購(gòu)物、出行、家居……本屆“補(bǔ)天杯”破解大賽提交的漏洞深入到了生活中的細(xì)節(jié)。除常見的企業(yè)級(jí)防火墻、路由器、NAS設(shè)備外，還涉及了智能U型鎖、電動(dòng)滑板車、掃碼槍、全套智能家居相關(guān)，包括掃地機(jī)器人、臺(tái)燈、音響等生活中常見的場(chǎng)景和物品。

本次比賽中，選手們提交了更多“無感”漏洞，而這些漏洞可造成的損失和影響范圍卻不容小覷：利用某國(guó)際廠商的防火墻漏洞，可自由進(jìn)出企業(yè)環(huán)境獲取用戶資料、企業(yè)機(jī)密信息，且該廠商服務(wù)于大多數(shù)世界500強(qiáng)企業(yè)，一旦被不法分子利用，造成的損失將難以估量；在掃碼支付盛行的當(dāng)下，掃碼槍漏洞不僅可在用戶付款時(shí)直接轉(zhuǎn)走用戶錢款，商家不會(huì)收到一分錢，攻擊者甚至還能借助漏洞直接修改掃碼金額，商家和用戶均受損失，而攻擊者全程“隱身”卷走錢款；在無需接入受害者家庭局域網(wǎng)的情況下，利用設(shè)備漏洞可以實(shí)現(xiàn)對(duì)智能家居設(shè)備的遠(yuǎn)程任意控制，甚至可以攻擊該品牌全網(wǎng)的智能家居設(shè)備。無論是企業(yè)級(jí)設(shè)備還是家庭用設(shè)備，漏洞數(shù)量都在猛增。

“補(bǔ)天杯”破解大賽相關(guān)負(fù)責(zé)人表示，隨著物聯(lián)網(wǎng)設(shè)備數(shù)量的指數(shù)級(jí)增長(zhǎng)，漏洞數(shù)量也必然攀升。與此同時(shí)，政策規(guī)定的不斷完善，也明確了產(chǎn)品開發(fā)商、產(chǎn)品服務(wù)商、漏洞發(fā)現(xiàn)者、漏洞發(fā)布者等各類主體的責(zé)任和義務(wù)，對(duì)于廠商和安全人員都提出了更高的要求。舉辦“補(bǔ)天杯”破解大賽的目的，就是希望通過競(jìng)賽方式搭建平臺(tái)，一方面引起廠商對(duì)網(wǎng)絡(luò)安全的重視，并主動(dòng)提升自身安全能力；另一方面鼓勵(lì)白帽人才發(fā)展，促進(jìn)網(wǎng)絡(luò)安全人才培養(yǎng)，為網(wǎng)絡(luò)強(qiáng)國(guó)建設(shè)培養(yǎng)力量。

“補(bǔ)天杯”破解大賽主辦方補(bǔ)天平臺(tái)，是專注于漏洞響應(yīng)的第三方公益平臺(tái)，躋身全球三大漏洞平臺(tái)之列。截止目前，補(bǔ)天平臺(tái)入駐白帽專家數(shù)量已超過10.5萬(wàn)人，報(bào)告漏洞總數(shù)超過108萬(wàn)，影響企業(yè)數(shù)量33萬(wàn)家。補(bǔ)天平臺(tái)也先后多次被公安部、國(guó)家信息安全漏洞共享平臺(tái)（CNVD）、國(guó)家信息安全漏洞庫(kù)（CNNVD）分別評(píng)定為技術(shù)支持先進(jìn)單位、漏洞信息報(bào)送突出貢獻(xiàn)單位和一級(jí)技術(shù)支撐單位，補(bǔ)天平臺(tái)多名精英白帽還獲評(píng)CNVD年度十強(qiáng)白帽和優(yōu)秀個(gè)人。