建站
咨詢
售后
建站咨詢
新聞中心
法國安全公司利用了谷歌瀏覽器的漏洞，繞過其沙箱安全功能，ASLR和DEP能力。谷歌瀏覽器Chrome的沙箱安全技術，旨在阻止惡意代碼滲入系統(tǒng)進程，已被VUPEN安全公司的研究人員的繞開（compromised by researchers at VUPEN Security）。
桑植ssl適用于網(wǎng)站、小程序/APP、API接口等需要進行數(shù)據(jù)傳輸應用場景，ssl證書未來市場廣闊！成為創(chuàng)新互聯(lián)的ssl證書銷售渠道，可以享受市場價格4-6折優(yōu)惠！如果有意向歡迎電話聯(lián)系或者加微信：18980820575（備注：SSL證書合作）期待與您的合作！
在周一發(fā)布的一份公告中，該公司稱其研究團隊發(fā)現(xiàn)了谷歌瀏覽器中的一個零日漏洞。該漏洞讓研究團隊繞過了Chrome所有的安全功能，包括地址空間布局隨機化（ASLR），數(shù)據(jù)執(zhí)行保護（DEP），這兩種技術是為了阻止入侵者獲取對正在運行的進程的訪問。
“雖然Chrome瀏覽器擁有最安全的沙箱之一，并在過去三年的Pwn2Own比賽中都幸存了下來，但是我們現(xiàn)在發(fā)現(xiàn)了一種可以在任何默認Chrome安裝程序上，執(zhí)行任意代碼的可靠方法，盡管Chrome有沙箱，ASLR和DEP，”VUPEN公司在公告中說道。
繞開安全防御技術的工作在Windows系統(tǒng)上完成，同時依靠零日漏洞。VUPEN公司表示，該攻擊可以再不利用Windows內(nèi)核漏洞的情況下就可以成功。
VUPEN公司表示不會公開披露開發(fā)代碼或漏洞底層的技術細節(jié)。該公司發(fā)布一個相應的視頻作為證據(jù)，證明了瀏覽器的漏洞被利用。
一位谷歌的發(fā)言人對KrebsOnSecurity的Brian Krebs說，谷歌的工程團隊無法核實VUPEN的說法，因為VUPEN沒有分享任何與他們的發(fā)現(xiàn)有關的信息。如果該漏洞被證實，谷歌會發(fā)布一個針對瀏覽器的自動更新。
在過去TippingPoint Pwn2Own 比賽中，ASLR和DEP的漏洞就已顯現(xiàn)。使用這些技術的微軟表示，一次成功的攻擊需要極為復雜的措施，其中包括多個零日漏洞。
沙箱技術，一直被認為是針對常見攻擊者目標應用的防御添加層。Adobe系統(tǒng)公司開發(fā)的Adobe Reader X也使用了沙箱技術來阻止攻擊。一位攻擊者繞過了Adobe Flash Player中一個類似的沙箱功能。谷歌承認，沙箱是不是萬能的方法，但一個附加的安全層，可以阻止許多攻擊。
chrome沙箱被攻破視頻
原文出處：http://itknowledgeexchange.techtarget.com/security-bytes/vupen-outs-sandboxing-weaknesses-in-google-chrome-attack/
【編輯推薦】
- 安全沙箱程序：深度防御還是分層漏洞？（1）
- Chrome 10再升級 緊急添加HTTPS黑名單
- Chrome沒有被黑不代表不可能被黑 只是沒人去嘗試
- Pwn2Own 2011戰(zhàn)報:Firefox和Chrome依然堅挺
本文題目：沙箱被突破原來Chrome也不完全靠譜（附視頻）
本文路徑：http://m.5511xx.com/article/ccdpege.html
