独家采访全球黑客大赛冠军，5秒攻克苹果浏览器，凭什么？

AlphaGo前段时间出尽风头，兴许Pwn2Own会让它望而却步，因……为……狗……也……怕…….有……漏……洞……

Pwn2Own是全球最高规格的黑客大赛，以高难度与高奖金额吸引全球顶级黑客的目光。腾讯安全Sniper战队凭借总积分38分名列积分榜榜首，3月18日摘得世界总冠军，并且获得了这一顶级赛事史上首个“Master of Pwn”（破解大师）称号。云小哥第一时间就联线了Sniper战队领队吕一平（Samuel），他用微信语音接受了我们的采访，为我们独家揭秘冠军团队背后故事！

此次代表中国出征Pwn2Own的腾讯安全战队的Sniper战队由科恩实验室研究员与电脑管家团队成员组成，阵容勘称豪华。

科恩实验室作为腾讯安全新成立的一支专注于云计算与移动终端安全研究的白帽黑客队伍，此次派出其核心成员陈良、Peter等出战，他们是亚洲最早参加Pwn2Own并夺冠的世界超一流黑客；腾讯电脑管家团队成员毛军去年首次亮相Pwn2Own便大放异彩，攻破IE浏览器PDF插件夺得冠军。

01 恭喜腾讯安全Sniper战队，本次夺冠，大家觉得靠的是什么？团队在激烈竞争中的优势主要是什么？

Samuel：比赛获胜靠的是什么？我觉得有几点很重要的。

第一点就是团队的协作，这次不光科恩实验室，还有电脑管家团队，也跟我们一起在合作pwn2own的项目。这次拿到master of pwn，大家都付出了很多的努力，所以这团队协作是最重要的，也是我们能够打赢的一个原因。

另外一个，我觉得是勤奋努力。准备这个比赛用了非常长的时间，差不多有两三个月的时间。每天都是高强度的工作，虽然你看着5秒钟破safari，3秒钟破adobe flash，整个的亚视过程都是很短的，但是之前的准备工作是非常非常辛苦，非常非常花时间的，所以我觉得这个也是很重要的一点。

第三个，坚持不懈。坚持到打完最后一个项目，不放弃。其实在最后一个项目之前，我们其实还落后360两分，落后韩国小伙子两分。我们就是坚持，不放弃任何一个可以拿分数的项目，我们最后一个项目打得非常非常好，拿到了15分，所以一下就超了360和韩国人13分，所以说任何一个比赛都要坚持，因为坚持到最后的人，永远都是获胜的那个。

第四个，我觉的就是需要做精心的准备，我们充分理解了比赛的规则，而且按照这个规则，我们做了很多很多的准备。我们为每一种不同可能出现的情况做了预案，包括做了一些准备。

所以在突发情况发生的时候，我们不会特别紧张，我们会有相应的方案可以跟进。包括在比赛很多项目我们都做了非常多的测试，在比safari的时候，前一天晚上，我们至少做了100多次测试，确保这个项目可以顺利拿下。

我们最大的优势，就是我们是一个高效团结的团队。你会发现，现在pwn2own比赛一年比一年难，如果是单兵作战的话，基本是没有希望能够打赢这个比赛。

2 对于本次比赛，准备过程是怎样的？我们了解到，团队的准备非常充分，付出了极大努力，不单春节没休息，比赛期间还只睡了一个半小时等。

Samuel：我们的确是非常非常辛苦，春节pwn2own的团队基本都没有休假，大家都还是在春节期间全身心地投入到研究工作。我们要找足够多的漏洞，但并不是每个漏洞都能用到比赛里的，我们要从里面做筛选分析，还要为这些漏洞写漏洞利用的方法， 这些东西其实都是非常非常花时间的。

而且一般情况下，厂商都会在比赛前的一周到两周，出很多的补丁，把已知的漏洞修复掉，我们其实真的是花了很多的时间在这里面。

比赛前的一天，我们还要对已经确认的项目和可用的方案做最后的测试，像我刚才提到的safari的项目，我们测了100多遍，其他的项目，也都是几十遍的测试，确实在比赛演示的过程中是万无一失的。赛前我们还发现了一些小的状况，出了一些小的问题，但我们通过测试，及时做了相应的调整。

腾讯安全Sniper战队攻破苹果safari浏览器

3 比赛过程中，是否有什么波折，其中有什么故事可以分享吗？

Samuel：这次比赛，其实我们抽签的运气不是特别好，因为每个项目，都要抽签，决定谁先比谁后比。一般先比的都会比较有优势，然后后面的选手，如果使用的漏洞和漏洞利用，跟前面比过的选手一样，就会被判定为撞洞，这个项目上就会没有分数。

我们抽签都是抽到第2轮或者第3轮比赛，我们没有抽到一个第一轮参加某个项目比赛的，这个可能也是一个比较差的抽签结果。但是我们临场做了很多调整，包括选择哪套方案，怎么打，最后怎么解决、规避撞洞的问题，所以我们是花了很多精力在这上面，确保了比赛胜利。

4 站在世界之巅，成为破解大师，团队目前感觉如何？

Samuel：大家都很高兴，同时大家都很感谢其他队友，因为这是一个团队的胜利，也是团队共同努力的结果。每个人都付出了很多，除了高兴和兴奋之外，大家都是很感谢我们的队友，大家都觉得这是一个很好的结果。比赛完后，大家都想抓紧时间，多睡一会儿。

5 展望一下，在本次比赛中作出的努力，会对广大用户的安全防护带来什么帮助？

Samuel：本次比赛里面所发现的问题，包括提交给厂商的问题，其实都是我们安全领域里面叫zeroday，就是厂商未知的问题。而且你看我们四个打赢的项目，都是不但突破了应用层的安全性，还拿到了系统权限，也就是说，如果用我们的方案去打真实的机器，基本上是可以完全控制这台电脑的，不管是苹果的，还是微软windows的，所以说这些问题，相对来说还是比较严重的。那厂商拿到这些问题之后， 厂商是可以去做更好地保护用户的一个动作的。

对腾讯来讲，咱们腾讯也有PC端，也有电脑管家。这次比赛，我们电脑管家团队，在项目里面做得很好，我们电脑管家团队有这样的技术能力，能够更好地去保护我们腾讯电脑管家的用户。

下面有请腾讯云安全总监周斌（Blue）为我们做赛事点评和安全布局介绍！

1 怎么看待他们此次夺冠？

Blue：本次比赛sniper战队夺冠体现了腾讯安全团队的技术深度，这是一个从量变积累到质变的过程。安全问题是决定一个产品的生死线，腾讯始终都把安全放在对用户承诺的第一位。

通过多年的安全能力和大数据积累，我们可以把通过全球安全行业顶尖高手测试后的系统交付给用户使用，并保证稳定运营。

2 腾讯在安全研究上处在怎样的水平？

Blue： 腾讯拥有上千人的安全团队，为各类业务提供防护工作，从应急响应、安全防护，到检测对抗、安全研究，再到线下对抗，进行全链条的保护。我们积累了数十P的黑数据，每天会对上P的数据进行数据建模分析，每天可以提供百亿数据对外安全服务。 

3 腾讯对外开放安全防护的能力都有哪些？

Blue： 腾讯对外开放的安全能力分为3个大类，分别是桌面安全、终端安全、云安全。其中桌面安全主要是电脑管理，终端安全包括了手机管理、安全加固等服务，云安全包括了大禹分布式DDoS防护、天御业务安全防护、主机安全防护、安全大数据等功能。

可以提供从PC、手机到云端的全面安全解决方案。我们的安全产品已经在互联网+、金融、电商、游戏等多个行业中，为客户成功提供防护。

4 腾讯云安全对未来布局有哪些想法呢？

Blue： 云计算是近年来互联网热点之一，当然也是未来的发展方向，而安全更是重中之重，因为我们不仅平台要安全运营，同时也要为客户提供安全稳定的服务。

我们在目前已经提供的网络安全、主机安全、应用安全、移动安全工作之外，我们还将会在超大带宽防护、安全大数据等方面提供进一步升级服务。同时，2016年1月我们发布了云安全联盟，接下来逐步会把行业优秀的安全产品引入腾讯云，为我们的用户提供服务。