11月8日，为期两天的2020“天府杯”国际网络安全大赛落下帷幕。本次大赛由360集团联合多家行业顶尖单位共同主办, 来自多家海内外知名公司及机构的20余支队伍、近百位技术白帽齐聚于蓉，展开了一场酣畅淋漓的破解之战。

在产品破解赛上，360政企安全联队（360政企安全漏洞研究院、360落叶知秋、360CDSRC）强势屠榜，一举斩获81.25万美金奖励，所获奖金总数远超其他参赛战队奖金总和，成功领跑天府“摘金”榜单。

其中360政企安全漏洞研究院凭借攻破Chrome、Firefox、VMWare ESXi、SamsungGalaxy S20、CentOS 8、KVM-qemu、Adobe PDF Reader、iPhone11pro、TPlink项目，摘得2020天府杯“最佳产品破解奖一等奖”的重磅殊荣。另外两支战队同样表现不俗，360落叶知秋团队成功攻破Samsung Galaxy S20项目，360CDSRC则实现了Adobe PDF Reader项目的破解。

这是360安全团队继2018、2019两年蝉联“天府杯”冠军后，再度问鼎天府杯冠军之席，毫无疑问地证明了360强势领跑全球的漏洞研究及挖掘能力。

尖峰较量

360政企安全漏洞研究院达成多个“全球首破”

历经三载，天府杯国际破解大赛不断提升赛事规格，致力于打造一场具有中国特色的网络安全技术盛宴，赶超国际黑客大赛“Pwn2Own”。本次大赛特设了100万美元奖金，其中90%奖金用于产品破解赛，单项最高奖金高达18万美元，足见其重量。

另外，组委会结合世界知名黑客大赛战况，精心遴选了难度大、漏洞影响范围广、对我国安全环境有重大影响、体现网络安全发展趋势的赛题，涵盖PC端、移动端、服务器端、IOT设备等在内的多个破解题目。

回顾整场战况，堪称神仙打架。开赛首个项目是Chrome，众所周知桌面版Chrome浏览器市场占有率高达70%，目前微软的Edge浏览器也采用了Chromium内核。破解赛上，360政企安全漏洞研究院使用了2个0day漏洞，成功突破Chrome沙箱保护，实现了远程在目标机器上执行任意代码的效果，一举摘得10万美元首金。这也是继2015年后，Google Chrome全球首度被破解。

随后，在Firefox浏览器项目上，360政企安全漏洞研究院同样利用0day漏洞对其进行突破，成功控制系统，整个过程仅有6秒！打破了Mozilla Firefox自2018年未被攻破的记录。

在针对虚拟化届翘楚——VMware的破解项目上，360政企安全漏洞研究院的选手利用用户态程序的UAF漏洞，实现代码执行，再通过一个内核漏洞，获得内核级别的代码执行，最终得到系统最高权限。作为全场奖金最高的项目，VMWare ESXi的破解难度系数极高，另外，由于市面上云主机、虚拟主机大多由VMWare ESXi搭建而成，一旦被攻破，波及范围广泛、造成后果严重。

在第二天的破解赛上，360政企安全漏洞研究院针对iPhone 11pro系统进行了破解，利用0day漏洞在系统进程里实现代码执行，从而实现窃取用户手机相册、通讯录等敏感信息。这是继iPhone“祭出”超强缓解机制后，国内外首次破解，且用时仅有10秒！