Pwn2Own

Pwn2Own — это конкурс по взлому компьютеров , который ежегодно проводится на конференции по безопасности CanSecWest . ^[1] Впервые проведенный в апреле 2007 года в Ванкувере, ^[2] теперь конкурс проводится дважды в год, ^[3] последний раз в марте 2024 года. ^[4] Участникам предлагается использовать широко распространенное программное обеспечение ^[5] и мобильные устройства с ранее неизвестными уязвимостями . ^[6] Победители конкурса получают устройство, которое они взломали, и денежный приз. ^[7] Конкурс Pwn2Own призван продемонстрировать уязвимость широко используемых устройств и программного обеспечения, а также предоставить контрольную точку для прогресса, достигнутого в области безопасности с предыдущего года.

Первый конкурс в 2007 году ^[1] был задуман и разработан Драгосом Руиу в ответ на его разочарование отсутствием реакции Apple Inc. ^[8] на Месяц ошибок Apple и Месяц ошибок ядра , ^[9] а также телевизионной рекламой Apple, которая принижала безопасность, встроенную в конкурирующую операционную систему Windows . ^[10] В то время было широко распространено мнение, что, несмотря на эти публичные демонстрации уязвимостей в продуктах Apple, OS X была значительно более защищена, чем любые другие конкуренты. ^[8] 20 марта, примерно за три недели до CanSecWest того года, Руиу объявил о конкурсе Pwn2Own для исследователей безопасности в списке рассылки DailyDave. ^[1] В конкурсе должны были участвовать два MacBook Pro , которые он должен был оставить на полу конференции, подключенными к их собственной беспроводной точке доступа . Любой участник конференции, который мог подключиться к этой беспроводной точке доступа и использовать одно из устройств, мог покинуть конференцию с этим ноутбуком. Денежное вознаграждение не предусматривалось. ^[8] Название «Pwn2Own» произошло от того факта, что участники должны были « pwn » или взломать устройство, чтобы «завладеть» им или выиграть его.

В первый день конференции в Ванкувере, Британская Колумбия , Руиу попросил Терри Форслофа из Zero Day Initiative (ZDI) принять участие в конкурсе. ^[5] У ZDI есть программа, которая покупает атаки нулевого дня , сообщает о них затронутому поставщику и превращает их в сигнатуры для собственной системы обнаружения сетевых вторжений, повышая ее эффективность. Уязвимости, проданные ZDI, становятся общедоступными только после того, как затронутый поставщик выпустит исправление для них. ^[11] Форслоф согласился с предложением ZDI о покупке любых уязвимостей, используемых в конкурсе, по фиксированной цене в 10 000 долларов. ^[5] Первый конкурс впоследствии выявил громкую уязвимость QuickTime , которая была раскрыта Apple 23 апреля и исправлена ​​в начале мая. ^[5] В 2008 году сфера охвата конкурса Pwn2Own была расширена. ^[12] Целями были три ноутбука, работающие под управлением стандартной установки Windows Vista , OS X или Ubuntu Linux . ^[13] Мобильные устройства были добавлены в 2009 году. ^[6]

В 2012 году правила были изменены на соревнование в стиле «захват флага» с системой очков ^[14] В и Chrome был успешно использован в первый раз постоянным участником VUPEN . ^[15] После выхода из конкурса в том году из-за новых правил раскрытия информации ^[16] в 2013 году Google вернулся в качестве спонсора, и правила были изменены, чтобы потребовать полного раскрытия информации об использованных эксплойтах и ​​методах. ^[17] В том году (2013) один исследователь смог взломать Chrome, Firefox и IE , тройной взлом. ^[18] Google перестал быть спонсором Pwn2Own в 2015 году. ^[19]

В 2015 году каждый протестированный веб-браузер был успешно взломан, и каждый приз был выигран на общую сумму 557 500 долларов. Другие призы, такие как ноутбуки, также были вручены победившим исследователям. ^[20] В 2018 году конференция была намного меньше и спонсировалась в основном Microsoft , после того как Китай запретил своим исследователям по безопасности участвовать в конкурсе. ^[21]

Pwn2Own продолжает спонсироваться инициативой Trend Micro Zero Day Initiative, при этом ZDI сообщает поставщикам об уязвимостях, прежде чем публиковать информацию о взломах. ^[3] «Один из крупнейших хакерских конкурсов в мире» по данным TechCrunch , ^[22] по состоянию на 2019 год конкурс по-прежнему проводится несколько раз в год. ^[7] Pwn2Own Tokyo проводился с 6 по 7 ноября в Токио, Япония , и, как ожидалось, должен был разыграть 750 000 долларов наличными и призами. ^[22] Взломы сосредоточены на браузерах, виртуальных машинах, компьютерах и телефонах. ^[3] В 2019 году в конкурс впервые были добавлены автомобили, и за взломы, использующие программное обеспечение Tesla , предлагалось 900 000 долларов . ^[3] В 2019 году в конкурс были добавлены промышленные системы управления. ^[23]

Победители конкурса получают устройство, которое они использовали, и денежный приз. ^[7] Победители также получают куртку «Masters», отмечающую год их победы.

Этот раздел необходимо обновить . Пожалуйста , помогите обновить эту статью, чтобы отразить последние события или новую доступную информацию. ( Декабрь 2022 г. )

Приведенный ниже список известных взломов является неполным.

Конкурс проходил с четверга 18 апреля по субботу 20 апреля 2007 года в Ванкувере. ^[2] Первый конкурс был призван подчеркнуть небезопасность операционной системы Mac OS X от Apple , поскольку в то время было широко распространено мнение, что OS X была намного более безопасной, чем ее конкуренты. ^[8] Что касается правил, то только два ноутбука MacBook Pro, один 13" и один 15", были оставлены на конференц-зале CanSecWest и подключены к отдельной беспроводной сети. Были разрешены только определенные атаки, и эти ограничения постепенно смягчались в течение трех дней конференции. ^[8] В первый день разрешались только удаленные атаки, во второй день были включены атаки через браузер, а в третий день разрешались локальные атаки, когда участники могли подключаться с помощью USB -накопителя или Bluetooth . Чтобы выиграть 15" MacBook Pro, участники должны были дополнительно повысить свои привилегии до root после получения доступа с помощью своего первоначального эксплойта.

Ноутбуки не были взломаны в первый день. После того, как ZDI объявила приз в размере 10 000 долларов, Шейн Маколей позвонил бывшему коллеге Дино Дай Зови в Нью-Йорк и призвал его принять участие во второй день. ^[2] За одну ночь Дай Зови нашел и использовал ранее неизвестную уязвимость в библиотеке QuickTime , загруженной Safari. ^[24] На следующее утро Дай Зови отправил свой код эксплойта Маколею, ^[56] который разместил его на веб-сайте и отправил организаторам конкурса ссылку на него по электронной почте. При нажатии на ссылку Маколей получил контроль над ноутбуком, выиграв конкурс по доверенности для Дая Зови, который подарил Маколею 15-дюймовый MacBook Pro. ^[57] Дай Зови отдельно продал уязвимость ZDI за приз в размере 10 000 долларов. ^[25]

Pwn2Own 2008 проходил с четверга 26 марта по субботу 28 марта 2008 года. ^[13] После успешного конкурса 2007 года сфера конкурса расширилась, включив в себя более широкий спектр операционных систем и браузеров. Конкурс должен был продемонстрировать широко распространенную небезопасность всего программного обеспечения, широко используемого потребителями. ^[12] Драгос усовершенствовал конкурс с помощью широкой группы отраслевых экспертов, а конкурс был проведен ZDI, которая снова предложила купить уязвимости после их демонстрации. ^[13] Как и в случае со всеми уязвимостями, которые покупает ZDI, подробности об уязвимостях, используемых в Pwn2Own, будут предоставлены затронутым поставщикам, а общедоступные подробности будут скрыты до тех пор, пока не будет выпущен патч . ^[11] Все участники, успешно продемонстрировавшие эксплойты на конкурсе, могли продать свои уязвимости ZDI за призы в размере 20 000 долларов США в первый день, 10 000 долларов США во второй день и 5 000 долларов США в третий день. ^[12] Как и в конкурсе прошлого года, в каждый день были разрешены только определенные атаки. Целями были три ноутбука, на которых была установлена ​​по умолчанию Windows Vista Ultimate SP1 , Mac OS X 10.5.2 или Ubuntu Linux 7.10 . ^[13] В первый день были только удаленные атаки; участники должны были подключиться к той же сети, что и целевой ноутбук, и выполнить свою атаку без взаимодействия с пользователем и без аутентификации. Во второй день были включены атаки через браузер и мгновенные сообщения , а также атаки на вредоносные веб-сайты со ссылками, отправляемыми организаторам для перехода. ^[12] В третий день были включены сторонние клиентские приложения. Участники могли выбирать популярное стороннее программное обеспечение ^[12], такое как браузеры, Adobe Flash , Java , Apple Mail , iChat , Skype , AOL и Microsoft Silverlight . ^[13]

Что касается результата, ноутбук под управлением OS X был взломан на второй день конкурса с помощью эксплойта для браузера Safari, написанного совместно Чарли Миллером , ^[27] Джейком Хоноровым и Марком Дэниелом из Independent Security Evaluators. Их эксплойт был нацелен на подкомпонент браузера Safari с открытым исходным кодом. ^{[26] [58]} Ноутбук под управлением Windows Vista SP1 был взломан на третий день конкурса с помощью эксплойта для Adobe Flash, написанного совместно Шейном Маколеем, Александром Сотировым и Дереком Каллауэем. ^{[28] [59]} После конкурса Adobe сообщила, что они совместно обнаружили ту же самую уязвимость внутри компании и работали над исправлением во время Pwn2Own. ^[60] Ноутбук под управлением Ubuntu не был взломан.

Pwn2Own 2009 проходил в течение трех дней CanSecWest с четверга 18 марта по субботу 20 марта 2009 года. После значительно большего успеха в веб-браузерах, чем в любой другой категории программного обеспечения в 2007 году, третий Pwn2Own сосредоточился на популярных браузерах, используемых в операционных системах для настольных компьютеров. Он добавил еще одну категорию мобильных устройств, которые участники должны были взломать с помощью множества векторов удаленных атак, включая электронную почту, SMS-сообщения и просмотр веб-сайтов. ^{[6] [61]} Всем участникам, продемонстрировавшим успешные эксплойты на конкурсе, были предложены награды за базовые уязвимости от ZDI: 5000 долларов за эксплойты браузера и 10 000 долларов за эксплойты мобильных устройств. ^[62]

Что касается правил веб-браузера, целями браузеров были Internet Explorer 8 , Firefox и Chrome, установленные на Sony Vaio под управлением Windows 7 Beta, а также Safari и Firefox, установленные на MacBook под управлением Mac OS X. Все браузеры были полностью исправлены и имели стандартные конфигурации в первый день конкурса. Как и в предыдущие годы, конкурс поверхностей атаки расширялся в течение трех дней. ^[62] В первый день участники должны были нацелиться на функциональность в стандартном браузере без доступа к каким-либо плагинам. Во второй день были включены Adobe Flash, Java, Microsoft .NET Framework и QuickTime. В третий день были включены другие популярные сторонние плагины, такие как Adobe Reader . Было разрешено несколько победителей на одну цель, но только первый участник, который использовал каждый ноутбук, получал его. Целями мобильных устройств были телефоны BlackBerry , Android , Apple iPhone 2.0 ( T-Mobile G1 ), Symbian (Nokia N95 ) и Windows Mobile ( HTC Touch ) в их стандартных конфигурациях.

Как и в случае с конкурсом браузеров, поверхность атаки, доступная участникам, расширялась в течение трех дней. Чтобы доказать, что они смогли успешно взломать устройство, участники должны были продемонстрировать, что они могут собирать конфиденциальные данные с мобильного устройства или нести какие-либо финансовые потери от владельца мобильного устройства. ^[62] В первый день устройство могло принимать SMS, MMS и электронную почту, но сообщения не могли быть прочитаны. Wi-Fi (если он включен по умолчанию), Bluetooth (если он включен по умолчанию) и радиостек также были в пределах области действия. Во второй день можно было открывать и читать SMS, MMS и электронную почту. Wi-Fi был включен, а Bluetooth можно было включить и соединить с ближайшей гарнитурой (дополнительное сопряжение запрещено). В третий день разрешался один уровень взаимодействия пользователя с приложениями по умолчанию. Разрешалось несколько победителей на одно устройство, но только первый участник, который взломает каждое мобильное устройство, получал его (вместе с годовым телефонным контрактом).

Что касается результата, то, основываясь на возросшем интересе к соревнованиям в 2009 году, ZDI организовал случайный выбор, чтобы определить, какая команда первой пойдет против каждой цели. ^[62] Первым выбранным участником стал Чарли Миллер . Он эксплуатировал Safari на OS X без помощи каких-либо плагинов браузера. ^{[29] [27]} В интервью после победы в конкурсе Миллер подчеркнул, что, хотя ему потребовалось всего несколько минут, чтобы запустить свой эксплойт против Safari, ему потребовалось много дней, чтобы исследовать и разработать эксплойт, который он использовал. ^[63] Для преследования Миллера был выбран исследователь, идентифицированный только как Нильс. Нильс успешно запустил эксплойт против Internet Explorer 8 на Windows 7 Beta. При написании этого эксплойта Нильсу пришлось обойти меры по защите от эксплуатации, которые Microsoft реализовала в Internet Explorer 8 и Windows 7, включая защиту выполнения данных (DEP) и рандомизацию макета адресного пространства (ASLR). ^{[30] [64]} Нильс продолжал пробовать другие браузеры. Хотя Миллер уже эксплуатировал Safari на OS X, Нильс снова эксплуатировал эту платформу, ^[31] а затем успешно перешел к эксплуатации Firefox. ^[32] Ближе к концу первого дня Жюльен Тиннес и Сами Койву (удалённо) успешно эксплуатировали Firefox и Safari на OS X с уязвимостью в Java. В то время в OS X Java была включена по умолчанию, что позволяло осуществлять надежную эксплуатацию против этой платформы. Однако из-за того, что он уже сообщил об уязвимостях поставщику, участие Тиннеса вышло за рамки правил конкурса и не могло быть вознаграждено. ^[65] В последующие дни конкурса не привлекли дополнительных участников. Chrome, а также все мобильные устройства, остались неиспользованными в Pwn2Own 2009. ^[66]

Конкурс начался 24 марта 2010 года и имел общий денежный призовой фонд в размере 100 000 долларов США. ^[67] 15 марта — за девять дней до начала конкурса — Apple выпустила шестнадцать исправлений для WebKit и Safari. ^[68] Что касается программного обеспечения для эксплуатации, 40 000 долларов из 100 000 долларов были зарезервированы для веб-браузеров, где каждая цель стоила 10 000 долларов. ^[67] В первый день были включены Microsoft Internet Explorer 8 на Windows 7 , Mozilla Firefox 3.6 на Windows 7, Google Chrome 4 на Windows 7 и Apple Safari 4 на Mac OS X Snow Leopard . Во второй день были включены Microsoft Internet Explorer 8 на Windows Vista , Mozilla Firefox 3 на Windows Vista, Google Chrome 4 на Windows Vista и Apple Safari 4 на Mac OS X Snow Leopard. В третий день были включены Microsoft Internet Explorer 8 на Windows XP , Mozilla Firefox 3 на Windows XP, Google Chrome 4 на Windows XP и Apple Safari 4 на Mac OS X Snow Leopard. 60 000 долларов США из общего денежного призового фонда в размере 100 000 долларов США были выделены на мобильную часть конкурса, каждая цель стоила 15 000 долларов США. ^[67] К ним относились Apple iPhone 3GS , RIM BlackBerry Bold 9700 , устройство Nokia E72 под управлением Symbian и HTC Nexus One под управлением Android .

Веб -браузер Opera был исключен из конкурсов в качестве цели: команда ZDI утверждала, что у Opera низкая доля рынка и что Chrome и Safari включены только «из-за их присутствия по умолчанию на различных мобильных платформах». Однако движок рендеринга Opera, Presto , присутствует на миллионах мобильных платформ. ^{[69] [70] [71] [72]}

Среди успешных эксплойтов был случай, когда Чарли Миллер успешно взломал Safari 4 на Mac OS X. ^[33] Нильс взломал Firefox 3.6 на Windows 7 64-bit ^[33], используя уязвимость повреждения памяти и обход ASLR и DEP, после чего Mozilla исправила уязвимость безопасности в Firefox 3.6.3. ^[73] Ральф-Филипп Вайнманн и Винченцо Иоццо взломали iPhone 3GS, обойдя цифровые подписи кода, используемые на iPhone для проверки того, что код в памяти принадлежит Apple. ^[33] Питер Врейгденхил использовал Internet Explorer 8 на Windows 7, используя две уязвимости, которые включали обход ASLR и обход DEP . ^[33]

Конкурс 2011 года проходил с 9 по 11 марта во время конференции CanSecWest в Ванкувере. ^[74] Целями веб-браузеров для конкурса 2011 года были Microsoft Internet Explorer, Apple Safari, Mozilla Firefox и Google Chrome. Новым в конкурсе Pwn2Own был тот факт, что была разрешена новая поверхность атаки для проникновения на мобильные телефоны, в частности, через базовые полосы сотовых телефонов . Целями мобильных телефонов были Dell Venue Pro под управлением Windows Phone 7 , iPhone 4 под управлением iOS , BlackBerry Torch 9800 под управлением BlackBerry OS 6.0 и Nexus S под управлением Android 2.3. Несколько команд зарегистрировались для участия в конкурсе браузеров для настольных компьютеров. Для Apple Safari зарегистрированными участниками были VUPEN, Anon_07, Team Anon, Charlie Miller. Для Mozilla Firefox были Сэм Томас и Anonymous_1. Для команд Microsoft Internet Explorer были Стивен Фьюэр, VUPEN, Сэм Томас и Ахмед М Слит. Команды Google Chrome включали Moatz Khader, Team Anon и Ahmed M Sleet. В категории мобильных браузеров зарегистрировались следующие команды. Для попытки взлома Apple iPhone команды включали Anon_07, Dion Blazakis и Charlie Miller, Team Anon, Anonymous_1 и Ahmed M Sleet. Для взлома RIM Blackberry команды включали Anonymous_1, Team Anon и Ahmed M Sleet. Для взлома Samsung Nexus S команды включали Jon Oberheide , Anonymous_1, Anon_07 и Team Anonymous. Для взлома Dell Venue Pro команды включали George Hotz , Team Anonymous, Anonymous_1 и Ahmed M Sleet.

В первый день соревнований Safari и Internet Explorer были побеждены исследователями. Safari был версии 5.0.3, установленной на полностью пропатченной Mac OS X 10.6.6. Французская фирма безопасности VUPEN была первой, кто атаковал браузер. Internet Explorer был 32-разрядной версией 8, установленной на 64-разрядной Windows 7 Service Pack 1. Исследователь безопасности Стивен Фьюэр из Harmony Security успешно использовал уязвимость IE. Это было продемонстрировано так же, как и в случае с Safari. ^[34] Во второй день уязвимости подверглись iPhone 4 и Blackberry Torch 9800. iPhone работал под управлением iOS 4.2.1, однако уязвимость существует и в версии 4.3 iOS. ^[35] Исследователи безопасности Чарли Миллер и Дион Блазакис смогли получить доступ к адресной книге iPhone через уязвимость в Mobile Safari, посетив свою веб-страницу, содержащую эксплойт. ^[35] Телефон Blackberry Torch 9800 работал под управлением BlackBerry OS 6.0.0.246. Команда Винченцо Иоццо, Виллема Пинкерса и Ральфа Филиппа Вайнмана воспользовалась уязвимостью в веб-браузере Blackberry на базе WebKit, посетив их заранее подготовленную веб-страницу. ^[35] Firefox, Android и Windows Phone 7 были запланированы для тестирования на второй день, но исследователи безопасности, которые были выбраны для этих платформ, не пытались использовать эксплойты. Сэм Томас был выбран для тестирования Firefox, но он отказался, заявив, что его эксплойт нестабилен. Исследователи, которые были выбраны для тестирования Android и Windows Phone 7, не явились. ^[35] Ни одна команда не явилась на третий день. Chrome и Firefox не были взломаны.

В 2012 году правила были изменены на соревнование в стиле «захват флага» с системой очков. ^[14] Новый формат заставил Чарли Миллера , успешного участника мероприятия в прошлые годы, принять решение не посещать его, так как требовалось «на месте» писать эксплойты, что, по мнению Миллера, было выгодно большим командам. ^[16] Хакеры выступили против четырех основных браузеров. ^[16]

На Pwn2Own 2012 Chrome был успешно взломан в первый раз. VUPEN отказались раскрыть, как им удалось выбраться из песочницы, заявив, что они продадут информацию. ^[15] Следующим был успешно взломан Internet Explorer 9 на Windows 7. ^[36] Firefox стал третьим браузером, взломанным с использованием эксплойта нулевого дня . ^[37]

Safari на Mac OS X Lion был единственным браузером, оставшимся на плаву после завершения части нулевого дня pwn2own. Версии Safari, которые не были полностью исправлены и работали на Mac OS X Snow Leopard, были скомпрометированы во время части CVE pwn2own. Значительные улучшения в смягчении безопасности в Mac OS X были введены в Lion. ^{[75] [76] [ необходима цитата ]}

Google отказалась от спонсорства мероприятия, поскольку правила 2012 года не требовали полного раскрытия эксплойтов от победителей, в частности эксплойтов для выхода из изолированной среды и продемонстрированных эксплойтов, которые не «победили». ^[16] Pwn2Own защитила это решение, заявив, что, по ее мнению, ни один хакер не попытается эксплойтировать Chrome, если их методы должны быть раскрыты. ^[16] Google предложила отдельный конкурс «Pwnium», в котором предлагалось до 60 000 долларов за эксплойты, специфичные для Chrome. Использованные уязвимости, не относящиеся к Chrome, гарантировали немедленное сообщение соответствующему поставщику. ^[16] Сергей Глазунов и подросток, идентифицированный как «PinkiePie», заработали по 60 000 долларов каждый за эксплойты, которые обходили безопасную изолированную среду. ^{[77] [78]} Google выпустила исправление для пользователей Chrome менее чем через 24 часа после демонстрации эксплойтов Pwnium. ^[79]

В 2013 году Google вернулся в качестве спонсора, и правила были изменены, чтобы требовать полного раскрытия эксплойтов и используемых методов. ^[17] Конкурс Mobile Pwn2Own 2013 проводился 13–14 ноября 2013 года во время конференции PacSec 2013 в Токио. ^[80] Веб-браузеры Google Chrome, Internet Explorer и Firefox, а также Windows 8 и Java, были эксплуатированы. ^[81] Adobe также присоединилась к конкурсу, добавив Reader и Flash. ^[38] Apple Safari на Mountain Lion не был целью, поскольку ни одна команда не явилась.

Французская фирма по безопасности VUPEN успешно эксплуатировала полностью обновленный Internet Explorer 10 на Microsoft Surface Pro, работающем под управлением 64-разрядной версии Windows 8, и полностью обошла изолированную программную среду защищенного режима без сбоев или зависаний браузера. ^[38] Затем команда VUPEN эксплуатировала Mozilla Firefox, Adobe Flash и Oracle Java. ^[39] Пинки Пай выиграла 50 000 долларов, а 14 ноября Google выпустила обновления Chrome для устранения эксплуатируемых уязвимостей. ^[40] Нильс и Джон из MWRLabs успешно эксплуатировали Google Chrome, используя уязвимости WebKit и ядра Windows, чтобы обойти изолированную программную среду Chrome, и выиграли 100 000 долларов. Джордж Хотц эксплуатировал Adobe Acrobat Reader и сбежал из изолированной программной среды, выиграв 70 000 долларов. Джеймс Форшоу, Джошуа Дрейк и Бен Мерфи независимо друг от друга эксплуатировали Oracle Java, выиграв по 20 000 долларов каждый.

Участники мобильного конкурса выиграли 117 500 долларов из призового фонда в 300 000 долларов. ^[80]

На Pwn2Own 2014 в марте ^{[82] [83]} был проведен в Ванкувере на конференции CanSecWest и спонсировался Hewlett-Packard . ^[84] Все четыре целевых браузера достались исследователям, ^[85] и участники в целом выиграли $850 000 из доступного пула в $1 085 000. ^[86] VUPEN успешно эксплуатировал полностью обновленный Internet Explorer 11 , Adobe Reader XI, Google Chrome, Adobe Flash и Mozilla Firefox на 64-битной версии Windows 8.1 , чтобы выиграть в общей сложности $400 000 — самую большую выплату одному конкуренту на сегодняшний день. Компания использовала в общей сложности 11 различных уязвимостей нулевого дня. ^[87]

Среди других успешных эксплойтов в 2014 году, Internet Explorer 11 был использован Себастьяном Апельтом и Андреасом Шмидтом для получения приза в 100 000 долларов. ^[84] Apple Safari на Mac OS X Mavericks и Adobe Flash на Windows 8.1 были успешно использованы Лян Ченом из Keen Team и Цзегуаном Чжао из team509. ^[88] Mozilla Firefox был использован три раза в первый день и еще один раз на второй день, при этом HP наградила исследователей 50 000 долларов за каждую обнаруженную уязвимость Firefox в том году. ^[89] И Vupen, и анонимный участник использовали Google Chrome. Vupen получил 100 000 долларов за взлом, в то время как анонимный участник получил меньший приз в 60 000 долларов, поскольку их атака основывалась на уязвимости, обнаруженной накануне на конкурсе Google Pwnium. ^[85] Кроме того, Нико Джоли из команды VUPEN взялся за Windows Phone (Lumia 1520 ), но не смог получить полный контроль над системой. ^[90] В 2014 году Keen Lab взломал Windows 8.1 Adobe Flash за 16 секунд, а также систему OSX Mavericks Safari за 20 секунд. ^[91]

Каждый доступный приз был разыгран в марте 2015 года в Ванкувере, и все браузеры были взломаны на общую сумму 557 500 долларов и другие призы. Лучшим хакером оказался Чон Хун Ли, который взломал «IE 11, как стабильную, так и бета-версию Google Chrome, и Apple Safari» и заработал 225 000 долларов призовых. Другие взломы включали взлом Adobe Flash Team509 и KeenTeem и другие взломы Adobe Reader. В целом, было 5 ошибок в операционной системе Windows, 4 в Internet Explorer 11, 3 в Firefox, Adobe Reader и Adobe Flash, 2 в Safari и 1 в Chrome. ^[92] Google перестал быть спонсором Pwn2Own в 2015 году. ^[19]

На конкурсе в марте 2016 года «каждый из победивших проектов смог обойти меры по защите от песочницы, используя уязвимости в базовых ОС». ^[93] В 2016 году были взломаны Chrome, Microsoft Edge и Safari. ^[94] По словам Брайана Горенца, менеджера по исследованию уязвимостей в HPE , в тот год они решили не включать Firefox, поскольку «хотели сосредоточиться на браузерах, которые [внесли] серьезные улучшения в безопасность за последний год». ^[95] После двух дней соревнований команда Tencent Security Team Sniper опередила Чон Хуна Ли, набрав еще 13 очков Pwn и заработав себе звание Master of Pwn для Pwn2Own 2016. ^[44] На Mobile Pwn2Own 2016, который проводился одновременно с конференцией по безопасности PacSecWest в Токио, команда Tencent Team Keen выиграла 215 тыс. долларов на Mobile Pwn2Own 2016, атаковав Nexus6P и два эксплойта для iPhone iOS 10.1, и была названа Мастером Pwn, звание, которое ZDI дает участнику, набравшему наибольшее количество очков за время конкурса. ^[46]

В марте 2017 года в Ванкувере хакеры впервые взломали виртуальную машину VMWare. ^[96] В 2017 году не было ни одного успешного взлома Chrome (хотя только одна команда попыталась атаковать Chrome), следующими браузерами, которые преуспели, были Firefox, Safari и Edge. ^[97] Mobile Pwn2Own проводился 1 и 2 ноября 2017 года . ^[98] На конкурсе присутствовали представители Apple, Google и Huawei. ^[99] Различные смартфоны, в том числе использующие программное обеспечение iOS 11.1 от Apple, также были успешно взломаны. «11 успешных атак» были направлены на iPhone 7, Huawei Mate 9 Pro и Samsung Galaxy S8 . Google Pixel не был взломан. ^[98] В целом, ZDI в том году выделила 833 000 долларов США на обнаружение 51 уязвимости нулевого дня. ^[100] Команда Qihoo 360 выиграла главный приз в 2017 году. ^[101]

В 2018 году конференция была намного меньше и спонсировалась в основном Microsoft. Китай запретил своим исследователям безопасности участвовать в конкурсе, несмотря на то, что в прошлом побеждали граждане Китая, и запретил разглашать уязвимости безопасности иностранцам. ^[21] В частности, команда Tencent Keen Labs и команда Qihoo 360 360Vulcan не участвовали, как и другие граждане Китая. ^[100] Впоследствии был разработан кубок Tianfu, который должен был стать «китайской версией Pwn2Own», также проводимой дважды в год. ^[102] Кроме того, незадолго до конференции 2018 года Microsoft исправила несколько уязвимостей в Edge, из-за чего многие команды отказались от участия. Тем не менее, были обнаружены определенные уязвимости в Edge, Safari, Firefox и других браузерах. ^[103] Попыток взлома Chrome не было, ^{[21] [104]} хотя предлагаемое вознаграждение было таким же, как и для Edge. ^[105] В конечном итоге хакеры получили 267 000 долларов. ^[103] Хотя многие продукты Microsoft предлагали крупные вознаграждения любому, кто мог получить к ним доступ, успешно эксплуатировался только Edge, а также Safari и Firefox. ^[21]

В марте 2019 года в Ванкувере на конференции CanSecWest состоялся конкурс с категориями, включая VMware ESXi , VMware Workstation , Oracle VirtualBox , Chrome, Microsoft Edge и Firefox, а также Tesla. ^[3] Tesla представила свой новый седан Model 3 , а пара исследователей заработала 375 000 долларов и автомобиль, который они взломали после обнаружения серьезной ошибки рандомизации памяти в информационно-развлекательной системе автомобиля . ^[22] Это также был первый год, когда был разрешен взлом устройств в категории домашней автоматизации . ^[47]

В октябре 2019 года Politico сообщило, что в следующем выпуске Pwn2Own были добавлены промышленные системы управления. ^[23] Pwn2Own Tokyo проходил с 6 по 7 ноября, и, как ожидалось, на нем будет разыграно 750 000 долларов наличными и призами. В конкурсе приняли участие Facebook Portal , Amazon Echo Show 5 , Google Nest Hub Max, Amazon Cloud Cam и Nest Cam IQ Indoor. Также был представлен комплект виртуальной реальности Oculus Quest . ^[22] В 2019 году команда выиграла 60 000 долларов, взломав Amazon Echo Show 5. Они сделали это, взломав «бреш в патче», который соединял старое программное обеспечение, пропатченное на других платформах, поскольку умный экран использовал старую версию Chromium . ^{[106] [7]} Команда поделилась результатами с Amazon, ^[47] которая заявила, что расследует взлом и предпримет «соответствующие шаги». ^[106]

Новый выпуск конкурса Pwn2Own состоялся 21–23 января 2020 года в Майами на конференции S4, с целями только для промышленных систем управления и SCADA . ^[107] Участники получили более 250 000 долларов США за трехдневное мероприятие ^[108], поскольку хакеры продемонстрировали множество эксплойтов во многих ведущих платформах ICS. Стивен Сили и Крис Анастасио, дуэт хакеров, называющий себя Team Incite, были удостоены звания Master of Pwn ^[109] с выигрышем в размере 80 000 долларов США и 92,5 очками Master of Pwn. В целом, в конкурсе было 14 победных демонстраций, девять частичных побед из-за столкновений ошибок и две неудачные заявки. ^[110]

Весенний выпуск Pwn2Own 2020 состоялся 18–19 марта 2020 года. Tesla снова вернулась в качестве спонсора и имела Model 3 в качестве доступной цели. ^[111] Из-за COVID-19 конференция перешла в виртуальное мероприятие. Инициатива Zero Day решила разрешить удаленное участие. Это позволило исследователям отправлять свои эксплойты в программу до начала мероприятия. Затем исследователи ZDI запускали эксплойты из своих домов и записывали экран, а также звонок Zoom с участником. В конкурсе было проведено шесть успешных демонстраций, и за двухдневное мероприятие было присуждено 270 000 долларов США при покупке 13 уникальных ошибок в Adobe Reader, Apple Safari и macOS, Microsoft Windows и Oracle VirtualBox. ^[112] Дуэт Амата Камы и Ричарда Чжу (Team Fluoroacetate) был коронован как Мастер Pwn с доходом в 90 000 долларов США. ^[113]

Осенний выпуск Pwn2Own, обычно называемый Pwn2Own Tokyo, проводился 5–7 ноября 2020 года. Поскольку карантин из-за COVID-19 продолжался, конкурс снова проводился виртуально и назывался Pwn2Own Tokyo (прямой эфир из Торонто). Мероприятие проводили исследователи ZDI в Торонто, а другие подключались из дома. В этом конкурсе в качестве цели также были включены серверы сетей хранения данных (SAN). ^[114] В мероприятии было восемь победных заявок, девять частичных побед из-за столкновений ошибок и две неудачные попытки. ^[115] В целом конкурс присудил 136 500 долларов за 23 уникальных ошибки. Команда Flashback Team (Педро Рибейро и Радек Домански) заслужила титул Master of Pwn с двумя успешными эксплойтами маршрутизаторов Wide Area Network (WAN). ^[116]

6–8 апреля 2021 года в Остине и виртуально прошел конкурс Pwn2Own. В этом году мероприятие было расширено за счет добавления категории «Корпоративные коммуникации», в которую вошли Microsoft Teams и Zoom Messenger. ^[117] В первый день конкурса были скомпрометированы Apple Safari, ^[118] Microsoft Exchange, Microsoft Teams, Windows 10, ^[119] и Ubuntu. Zoom Messenger был скомпрометирован на второй день конкурса с помощью эксплойта с нулевым щелчком. ^[120] Parallels Desktop, Google Chrome и Microsoft Edge также были успешно эксплуатированы во время конкурса. Более 1 200 000 долларов США было присуждено за 23 уникальных уязвимости 0-day. Master of Pwn был трехсторонним ничьей между Team DEVCORE, OV и командой Даана Койпера и Тейса Алкемаде. ^[121]

Второе издание Pwn2Own Miami прошло с 19 по 21 апреля 2022 года в Filmore в South Beach Miami. В течение трех дней конкурса было присуждено 400 000 долларов за 26 уникальных уязвимостей 0-days. ^[122] Команда Даана Кёпера и Тиджа Алкемаде из Computest Sector 7 была награждена званием Master of Pwn с доходом в 90 000 долларов. ^[123] Изюминкой конкурса стала демонстрация Даана и Тиджа, обхода проверки доверенного приложения на стандарте OPC Foundation OPC UA .NET. ^[124]

Pwn2Own вернулся в Ванкувер 18–20 мая 2022 года, чтобы отпраздновать 15-ю годовщину ^[125] конкурса. За три дня мероприятия ZDI выделила 1 155 000 долларов США за 25 уникальных уязвимостей нулевого дня. Первый день конкурса установил рекорд однодневного конкурса в размере 800 000 долларов США, выданных за различные эксплойты, включая три отдельные демонстрации Microsoft Teams. ^[126] Один из этих эксплойтов не требовал взаимодействия с пользователем и мог использоваться для взлома целой организации. Также были продемонстрированы успешные демонстрации против веб-браузеров Mozilla Firefox и Apple Safari. ^[127] Второй день конкурса был отмечен удаленным эксплойтом информационно-развлекательной системы Tesla. Исследователи из команды Synacktiv смогли удаленно запустить дворники, открыть багажник и мигнуть фарами автомобиля. ^[128] В последний день мероприятия были успешно продемонстрированы три из шести случаев повышения привилегий Windows 11. Все шесть из этих эксплойтов использовали уникальные ошибки. Флагманский телефон Samsung, Galaxy S22, работающий на последней версии Android 13, был взломан менее чем за минуту. После подсчета всех баллов команда STAR Labs получила звание Master of Pwn с призом в размере 270 000 долларов и 27 баллов. ^{[129] [130]}

• Конкурсное программирование
• Белая шляпа (компьютерная безопасность)
• Инициатива нулевого дня
• DEF КОН

• CanSecWest Конференция по прикладной безопасности