SyScan360: 谷歌黑客大神解剖“奥斯卡金奖”漏洞

　　美国大片中，总会出现各种超级英雄，他们能力非凡，与正义为伍，抗衡黑暗势力。现实中，网络安全领域也有着许多超级英雄，来自谷歌的全栈黑客大神Fermin J.Serna就因为一个偶然，发现了Linux系统基础库Glibc的高危漏洞，并一举拯救了全球的服务器系统。日前，在美国西雅图举办的SyScan360上， Fermin J.Serna分享了他拯救世界的历程。

　　许多科幻电影中，黑客们只要点击一个链接或是连接到服务器，便可导致远程代码执行，控制全世界的服务器，甚至直接控制用户计算机，盗取口令、监视用户。其实，这些似乎只有在电影中才会出现的情节就是Fermin要向大家分享的，通过利用Glibc 漏洞，这些电影中的情节都有可能成为现实。

　　“你是否曾在调试的矿井中步步深入，忽然意识到你自己正盯着比你所期待的有趣得多的东西?那么，你并不孤独!”谷歌安全工程师Fermin偶然地注意到：他们的SSH客户端每次试图连接到一个特定的主机时都会出现问题，对这个服务器配置错误引发的激烈调查，让Fermin发现，问题出在Glibc中，而这个漏洞(CVE-2015-7547)足以影响全球的服务器系统。

　　Fermin是谷歌公司的资深研究员，也是谷歌安全工程团队的负责人。他在Windows操作系统内核、浏览器、Flash插件、服务器系统、库等多个领域都有涉及并发现了大量的安全漏洞，是网络安全行业非常罕见和知名的全栈安全研究员。

　　此前他就曾多次被安全圈的奥斯卡Pwnie奖提名，而此次发现的Glibc漏洞更是直接将他送上了2016年Pwnie年度最佳客户端漏洞的金奖。一个一不小心拯救了世界的体验是怎样的?在SyScan360上，这位安全领域的超级英雄仍然保持黑客一贯的低调，云淡风轻地展示了“奥斯卡金奖”漏洞Glibc 的细节，以及它是通过远程未经身份验证的方式影响全球的计算机。

　　SyScan360是国际知名的技术峰会，此前已在新加坡、北京和上海举办多次，以往演讲嘉宾多为欧美专家，参会观众以亚洲网络安全从业人员为主。而今年SyScan360开到了美国，购票观众主要来自美国的高科技公司、机构和高校，演讲嘉宾除了微软、谷歌、Intel、McAfee、Check Point等公司的安全专家和乔治亚大学、普渡大学等名校教师以外，还有近四成的议题来自中国的360和盘古等安全企业。

　　除了行业交流和成果分享外，本届SyScan360增加了前期的技术培训，来自美国、日本、印度等多国技术人员购买培训课程，尤其是中国盘古团队的高级iOS 内核利用课程吸引了不少美国黑客的参与。