ISC2016首次揭秘Flash防弹衣的高危漏洞

8月17日，360 Vulcan Team的核心成员古河在中国互联网安全大会（ISC）的“漏洞挖掘与源代码安全论坛”上，首次揭秘了堪称“防弹衣”的Flash漏洞缓和技术本身存在的高危漏洞，无需利用其它Flash漏洞，就可以直接实现远程代码攻击。该演示成为大会一大看点，并立刻引发了众人关于Flash安全性的讨论和关注。

Flash漏洞百出安全防护成主要任务

近年来，漏洞百出已经成为了Flash的关键词，据数据显示，2015年Flash一共修复漏洞316个，其中光第四季度就修复了多达113个，平均每天有1.5个漏洞曝出，这是2014年同期修复漏洞数量的26倍。

高危的漏洞让Flash成为了APT攻击的众矢之的。2015年，意大利黑客公司Hacking Team泄露的400GB数据中，包含了多个Flash漏洞，被黑客组织广泛用于网络监控和数据盗取；2016年6月，黑客组织StarCruft对亚洲国家执法机构和贸易公司实现监控，利用的也是Flash的0ady漏洞……

近期，谷歌、苹果、FireFox等厂商接连发布“停运”Flash的公告，将拦截“对用户体验非必要的Flash内容”，这足以说明Flash繁复的漏洞已成为行业重点关注的安全问题之一。

为解决漏洞问题，Adobe痛下决心，不断为Flash添加新的缓和防护技术，例如针对Vector和bytearray的length检查、隔离堆等，层层铜墙铁壁般的保护措施使黑客在最新操作系统上利用Flash漏洞的难度大大增加。

再添新伤Flash安全保卫战遭遇滑铁卢

但多坚固的防线，也无法阻挡高水平的黑客。早在今年的Pwn2Own上，360Vulcan Team就曾一举攻破了最新的微软Edge和Adobe Flash Player，并获得了80000美元的全额奖金和13个积分。

更令人大跌眼镜的是，360Vulcan Team还发现了Flash漏洞缓和技术本身存在的安全隐患。据古河介绍，他们团队无需借助任何Adobe Flash Player漏洞，通过Flash缓和技术中的漏洞就能对Flash实现远程代码执行攻击。该漏洞早在5月就已经提交给Adobe，并在7月的补丁日中得到了修复。

据了解，古河是360公司安全研究员，更是360 Vulcan Team的主攻手，自2014年来，他独立发现并报告了84个Flash漏洞，25个IE漏洞，获得Adobe、微软等厂商上百次致谢，是国内近年来最高产的桌面软件漏洞研究者之一。

旧伤未愈，又添新伤，Adobe Flash Player的安全保卫战坎坷不断，究竟未来Flash的路在何方？也许，只有更多类似古河这样的精英黑客共同参与，才能真正为Flash打造坚不可摧的防御城墙。

声明：东方联盟网站刊登/转载此文出于传递更多信息之目的，并不意味着赞同其观点或论证其描述。