搜索

[29579] 2018-07-04_PE赛季报名启动『功守道』软件供应链安全大赛

文档创建者：s7ckTeam
浏览次数：76
最后更新：2025-01-19
2018-07-04_PE赛季报名启动『功守道』软件供应链安全大赛 P E 赛 季 报 名 启 动   | 『 功 守 道 』 软 件 供 应 链 安 全 大 赛 S e c Z o n e   O W A S P   2 0 1 8 - 0 7 - 0 4 背         景 软 件 供 应 链 安 全 软 件 供 应 链 安 全 ， 这 可 以 说 是 一 个 新 近 人 造 的 概 念 热 词 。 泛 泛 来 讲 ， 如 今 的 软 件 系 统 中 任 何 一 方 都 不 是 孤 立 的 ； 套 用 到 企 业 的 场 景 ， 就 有 了 供 应 链 的 概 念 。 以 典 型 互 联 网 企 业 为 例 。 线 上 生 产 环 境 所 依 赖 的 操 所 系 统 ， 配 套 的 基 础 软 件 ， 是 最 基 础 设 施 ， 这 方 面 R e d H a t 、 L i n u x 的 开 源 生 态 、 O r a c l e 等 底 层 平 台 供 应 者 是 供 应 链 上 游 ， 企 业 是 下 游 ； 而 每 个 企 业 都 有 大 量 的 P C 端 、 移 动 端 等 通 过 各 式 渠 道 分 发 的 客 户 端 软 件 ， 很 多 企 业 近 些 年 开 始 有 对 开 源 界 的 贡 献 ， 这 些 软 件 、 代 码 运 行 在 终 端 设 备 上 ， 这 里 企 业 是 上 游 ， 客 户 是 下 游 。 类 似 的 二 元 关 系 可 以 用 来 定 义 如 今 这 个 行 业 的 所 有 链 路 。 没 有 一 条 链 路 ， 是 我 们 能 够 自 信 完 整 掌 控 的 ； 对 此 的 隐 忧 ， 在 之 前 或 许 只 是 杞 人 忧 天 ， 但 如 今 却 已 真 实 来 到 面 前 。 且 看 外 部 关 注 点 ， 面 对 过 去 两 年 事 件 频 发 的 看 似 独 立 的 情 况 ， 在 R S A 上 已 经 将 软 件 供 应 链 安 全 作 为 问 题 抛 出 。 孤 立 的 事 件 我 们 总 可 以 依 靠 事 件 响 应 来 应 对 ， 这 样 至 少 我 们 不 会 比 别 人 更 容 易 成 为 众 矢 之 的 ； 但 沿 着 这 个 思 路 考 虑 下 去 ， 我 们 还 能 不 能 相 信 R e d H a t 、 开 源 社 区 的 那 些 作 为 基 石 的 操 作 系 统 环 境 ？ 能 不 能 相 信 大 量 存 在 的 J a v a 三 方 包 ？ 能 不 能 相 信 每 个 员 工 工 作 电 脑 上 安 装 每 一 个 任 意 渠 道 而 来 的 软 件 ？ 甚 至 于 在 互 联 网 快 速 迭 代 的 大 环 境 下 ， 那 些 开 发 者 们 从 G i t H u b 上 借 鉴 来 的 代 码 是 不 是 被 埋 入 了 源 码 级 的 特 洛 伊 木 马 ？ 这 一 切 都 未 知 。 隐 患 其 实 已 经 发 展 成 了 何 种 真 实 风 险 ， 未 知 。 最 致 命 的 是 问 题 完 全 发 散 ， 任 何 针 对 已 知 来 收 敛 问 题 的 尝 试 都 很 可 笑 。 没 有 任 何 一 方 在 此 中 有 任 何 优 势 。 谁 先 捅 开 这 个 庞 杂 问 题 ， 都 无 异 于 打 开 潘 多 拉 的 盒 子 。 但 盒 子 总 会 被 打 开 ； 看 热 闹 甚 至 先 在 软 件 供 应 链 整 体 崩 坏 进 程 中 闷 声 作 大 死 的 ， 都 将 自 食 其 果 ； 而 阿 里 安 全 ， 就 决 定 做 这 样 的 角 色 ， 振 臂 高 呼 让 大 家 知 道 黑 盒 子 里 的 可 能 有 多 么 可 怕 的 恶 魔 ， 然 后 在 纠 集 起 防 护 力 量 的 同 时 ， 慢 慢 地 打 开 盒 子 。 C 源 码 赛 季 ： 混 沌 初 开 C 赛 季 最 终 共 实 施 3 场 分 站 赛 。 为 了 比 赛 当 中 ， 攻 防 双 方 逐 步 对 抗 升 级 ， 我 们 将 比 赛 对 于 系 统 与 基 础 软 件 代 码 的 恶 意 行 为 嵌 入 检 测 ， 在 恶 意 行 为 维 度 ， 按 照 行 为 组 成 ， 划 分 为 如 下 三 类 ， 分 别 对 应 三 场 比 赛 ： 5 月 1 9 日 第 一 场 分 站 赛 为 单 点 恶 意 行 为 对 抗 单 点 恶 意 行 为 对 抗 。 题 目 覆 盖 所 有 考 点 清 单 的 恶 意 行 为 类 型 中 ， 全 部 仅 “ 单 点 即 恶 意 ” 类 型 特 征 。 例 如 ， 部 分 系 统 和 应 用 的 数 据 文 件 与 配 置 文 件 ， 仅 应 当 由 特 定 的 应 用 ， 或 程 序 经 由 特 定 的 A P I 合 法 访 问 ， 直 接 访 问 这 些 文 件 即 为 足 够 判 定 非 法 。 6 月 2 日 第 二 场 分 站 赛 为 二 阶 段 恶 意 行 为 对 抗 二 阶 段 恶 意 行 为 对 抗 。 题 目 覆 盖 清 单 中 ， 全 部 仅 可 以 描 述 为 二 阶 段 联 合 的 恶 意 行 为 ， 即 从 时 间 上 看 ， 可 分 为 时 序 上 的 “ 上 游 行 为 ” 和 “ 下 游 行 为 ” 。 上 下 游 行 为 之 间 一 般 应 具 有 数 据 相 关 性 ， 且 数 据 相 关 性 本 身 可 作 为 出 题 点 （ 如 诱 导 误 报 ） 的 一 部 分 考 虑 。 6 月 2 3 日 第 三 场 分 站 赛 为 复 合 （ 多 阶 段 与 开 放 性 ） 恶 意 行 为 对 抗 复 合 （ 多 阶 段 与 开 放 性 ） 恶 意 行 为 对 抗 。 题 目 侧 重 于 不 在 之 前 两 场 分 站 赛 所 覆 盖 的 范 围 内 的 题 目 ， 如 需 要 更 多 阶 段 联 合 组 成 的 恶 意 行 为 的 定 义 与 检 测 。 更 重 要 的 是 ， 本 轮 中 添 加 了 一 部 分 进 阶 题 目 ， 即 恶 意 代 码 充 分 结 合 载 体 的 已 有 功 能 、 A P I 调 用 等 进 行 混 淆 ， 并 更 结 合 载 体 代 码 逻 辑 完 成 恶 意 行 为 。 重 点 需 要 强 调 的 概 念 是 ， 在 作 为 软 件 供 应 链 污 染 可 以 达 成 的 恶 意 攻 击 ， 污 染 者 与 攻 击 面 是 两 个 独 立 的 范 畴 ： 攻 击 者 完 全 可 以 将 恶 意 行 为 污 染 嵌 入 到 一 个 基 础 软 件 中 ， 实 现 对 另 外 一 套 系 统 的 打 击 。 以 下 应 用 环 境 ， 并 非 是 指 在 这 些 基 础 应 用 自 身 代 码 中 进 行 污 染 ； 而 是 指 在 应 用 代 码 中 插 入 代 码 、 以 这 些 服 务 端 基 础 应 用 攻 击 面 为 对 象 的 恶 意 行 为 。 整 个 比 赛 设 置 的 基 本 形 式 是 国 内 前 所 未 有 的 攻 防 模 式 。 通 过 对 外 公 开 招 募 ， 形 成 了 具 有 红 蓝 对 抗 关 系 的 两 支 队 伍 ： 出 题 队 （ 蓝 军 ） 与 解 题 队 （ 红 军 ） 。 困 兽 ： 经 典 赛 题 示 例
t h t t p d 后 门 陷 阱 后 门 陷 阱 从 基 础 软 件 或 应 用 上 面 入 手 ， 稳 定 可 控 的 后 门 是 最 佳 选 择 。 而 在 一 个 无 关 应 用 中 突 兀 地 出 现 网 络 连 接 ， 隐 蔽 性 总 归 很 差 ； 在 t h t t p d 当 中 ， 以 很 袖 珍 的 代 码 实 现 稳 定 的 后 门 ， 是 这 里 首 先 要 呈 现 的 一 个 题 目 。 在 t h t t p d 项 目 ， 恶 意 代 码 嵌 入 到 l i b h t t p d . c 文 件 中 ， 上 下 游 恶 意 代 码 相 关 上 下 文 ： 代 码
后 门 会 根 据 h t t p 头 判 断 是 否 开 启 c g i 功 能 ， 并 根 据 h t t p 头 A c c e p t - L a n g u a g e 决 定 解 析 执 行 文 件 的 路 径 。 上 述 代 码 段 中 ， 首 先 通 过 h t t p 头 T E : 设 置 开 启 c g i 功 能 （ 对 应 上 述 代 码 中 ， h t t p d _ p a r s e _ r e q u e s t 函 数 中 插 入 的 e l s e   i f   (   s t r n c a s e c m p (   b u f ,   " T E : " ,   3   )   = =   0 )   { . . . } 代 码 块 ） 。 而 下 游 代 码 同 样 巧 妙 ， 指 定 特 殊 的 A c c e p t - L a n g u a g e :   e n ; q = 1 . 1 决 定 是 否 执 行 指 定 的 系 统 命 令 （ 即 c g i _ c h i l d 函 数 插 入 的 i f   (   s t r s t r (   h c - > a c c e p t l ,   " e n ; q = 1 . 1 " )   ! = ( c h a r * ) 0   )   { . . . } 代 码 块 ） 。 本 例 恶 意 行 为 的 主 要 特 点 ： 该 后 门 的 嵌 入 ， 新 增 代 码 量 极 小 （ 共 7 行 ） ， 巧 妙 借 用 了 t h t t p d 处 理 用 户 请 求 、 c g i 的 原 本 逻 辑 ， 借 用 了 e x e c v e 的 调 用 ， 没 有 任 何 新 增 的 A P I 调 用 等 行 为 ， 可 以 躲 避 有 意 识 的 行 为 特 征 匹 配 检 测 。 该 后 门 在 代 码 中 的 插 入 ， 分 布 在 了 存 在 逻 辑 关 联 的 上 下 游 两 个 位 置 ， 在 源 代 码 分 析 领 域 ， 属 于 过 程 间 代 码 扫 描 问 题 ， 对 于 基 于 语 义 的 源 代 码 静 态 扫 描 方 案 也 提 出 了 很 高 的 要 求 。 功 守 ： 面 对 虚 无 的 对 抗 安 全 行 业 从 来 不 是 一 个 攻 守 双 方 旗 鼓 相 当 的 领 域 ， 攻 击 技 巧 相 对 于 防 守 体 系 而 言 始 终 拥 有 很 大 的 杠 杆 。 从 这 一 角 度 讲 ， 本 次 比 赛 中 思 路 夺 人 的 蓝 军 固 然 是 明 星 ， 而 参 与 解 题 的 红 军 破 题 者 ， 更 是 代 表 出 路 和 希 望 。 从 最 终 结 果 来 看 ， 按 客 观 评 价 百 分 制 ， 三 轮 分 站 赛 加 权 求 总 分 ， 前 五 强 队 伍 得 分 分 布 如 下 ： 队 伍 队 伍 分 数 分 数 S e b o t （ 北 京 大 学 软 件 工 程 国 家 工 程 研 究 中 心 ） 6 7 . 6 G 1 5 （ 中 国 科 学 院 信 息 工 程 研 究 所 ） 6 4 . 3 L a n c e t （ 北 京 航 空 航 天 大 学 ） 4 8 . 5 维 * * 3 3 . 0 汤 * * 3 2 . 0 决 赛 启 动 仪 式 决 赛 启 动 仪 式 想 必 业 界 对 于 这 些 参 赛 队 伍 的 思 路 、 工 具 和 成 果 ， 都 有 着 浓 厚 的 兴 趣 。 此 处 先 卖 个 关 子 ： 这 些 红 军 队 伍 的 思 路 ， 我 们 将 在 8 月 2 2 日 的 北 京 ， 阿 里 巴 巴 2 0 1 8 网 络 安 全 生 态 峰 会 的 分 论 坛 — — 软 件 供 应 链 大 赛 研 讨 会 暨 决 赛 阶 段 启 动 仪 式 上 ， 邀 请 这 些 胜 出 队 伍 代 表 进 行 分 享 ， 敬 请 期 待 ！ 未 来 已 来 ： P E 二 进 制 赛 季 开 战 至 此 ， 我 们 完 整 的 『 功 守 道 』 软 件 供 应 链 安 全 大 赛 ， 在 预 选 赛 阶 段 ， 刚 刚 完 成 约 1 / 3 。 大 赛 完 整 的 时 间 线 如 下 图 所 示 ； 而 其 中 从 7 月 开 始 ， 我 们 将 马 上 实 施 大 赛 第 二 赛 季 — — W i n d o w s   P E 二 进 制 程 序 赛 季 （ 简 称 P E 赛 季 ） 。

相 比 C 源 代 码 的 攻 防 ， P E 二 进 制 上 面 的 安 全 风 险 与 对 抗 ， 历 史 安 全 事 件 更 多 、 更 触 目 惊 心 ， 不 论 是 X S h e l l 污 染 ， 还 是 C C l e a n e r 投 毒 ， 抑 或 针 对 集 成 开 发 环 境 插 件 生 态 的 污 染 ， 都 是 领 域 内 耳 熟 能 详 ， 却 又 缺 乏 系 统 性 关 联 分 析 的 热 点 ， 也 更 能 够 起 安 全 从 业 者 和 爱 好 者 的 兴 趣 。 针 对 这 些 繁 杂 的 事 件 ， 我 们 对 主 要 风 险 做 了 抽 象 ， 该 赛 季 由 此 设 置 场 景 如 下 ： 场 景 I T 企 业 员 工 工 作 电 脑 环 境 复 杂 且 无 法 收 口 ： 安 装 软 件 来 源 往 往 跳 出 白 名 单 ， 而 鱼 龙 混 杂 的 下 载 服 务 往 往 包 藏 祸 心 ； 遑 论 即 便 是 开 放 软 件 的 提 供 商 ， 也 可 能 存 在 被 入 侵 并 在 二 进 制 文 件 层 面 植 入 恶 意 代 码 的 情 形 ， 导 致 潜 在 的 官 方 不 可 信 ， 亟 需 二 进 制 审 查 ， 或 源 码 - 二 进 制 等 价 证 明 。 对 于 给 定 的 二 进 制 文 件 ， 你 将 采 用 静 态 还 是 动 态 的 方 法 去 扫 描 或 测 试 ? 针 对 对 照 组 是 否 有 能 力 通 过 同 源 性 判 断 察 觉 异 样 ? 这 是 道 开 放 题 目 。 在 这 个 更 贴 近 每 个 互 联 网 企 业 从 业 者 实 际 ， 符 合 安 全 圈 从 业 者 的 兴 趣 口 味 的 题 目 设 计 赛 季 ， 我 们 将 期 望 能 够 收 获 更 广 泛 的 关 注 、 影 响 力 ， 更 多 让 人 拍 案 叫 绝 的 恶 意 代 码 攻 击 思 路 ， 以 及 更 让 人 叹 为 观 止 的 防 守 者 解 题 方 案 。 这 里 欢 迎 所 有 安 全 技 术 兴 趣 者 持 续 关 注 到 该 赛 季 的 过 程 中 ； 也 希 望 对 于 比 赛 的 赛 制 形 式 和 细 节 有 见 解 建 议 的 同 学 能 够 协 助 我 们 将 比 赛 的 价 值 发 挥 到 极 致 。 题 目 下 载 题 目 下 载 P E 赛 季 的 基 础 概 念 题 目 ， 请 到 这 里 下 载 。 更 多 比 赛 相 关 概 念 题 目 、 信 息 和 动 态 ， 欢 迎 访 问 比 赛 官 网 （ h t t p s : / / s o f t s e c . s e c u r i t y . a l i b a b a . c o m / ） 了 解 ， 与 来 自 阿 里 安 全 和 该 领 域 其 它 玩 家 一 起 切 磋 。 P E 赛 季 本 周 开 赛 赛 季 本 周 开 赛 7 月 月 7 日 测 试 赛 日 测 试 赛 7 月 月 2 1 日 第 一 场 分 站 赛 日 第 一 场 分 站 赛 报 名 通 道 保 持 开 启 ， 只 等 你 来 ！ 报 名 通 道 保 持 开 启 ， 只 等 你 来 ！ 特 别 感 谢 特 别 感 谢 以 上 文 章 摘 于 “ 『 功 守 道 』 软 件 供 应 链 安 全 大 赛 • C 源 代 码 赛 季 启 示 录 ” ， 并 在 此 感 谢 O W A S P   中 国 、 S e c Z o n e 开 源 网 安 、 昂 楷 科 技 对 此 项 目 的 大 力 支 持 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理