网络攻防，漏洞为王。2015年网络空间硝烟不断：一方面，俄罗斯APT28组织攻击美国大型企业、疑似美国Duqu2.0入侵俄罗斯厂商卡巴斯基事件分 别曝光，双方攻击者都使用了Windows内核漏洞作为制胜法宝；另一方面，全球漏洞交易市场活跃，法国Zerodium明码标价收购漏洞，意大利 HackingTeam贩卖漏洞的邮件、攻击代码更是随着400G内部数据泄露而大白于天下，漏洞无疑就是网络空间的精准导弹甚至核武器级别军火。 在攻击者疯狂使用漏洞武器的同时，Windows等系统和软件也在紧锣密鼓地抢修漏洞，更有一批“安全守卫者”黑客将漏洞无偿报告给软件商，帮助厂商打补丁保护用户，而微软等厂商也会对漏洞报告者进行公开致谢。 接下来，我们将对Adobe、Apple、Google、Microsoft四个影响数亿用户的漏洞“大户”进行2015年盘点，看看都有哪些黑客团队荣登这些厂商的漏洞致谢榜。 Adobe：“漏洞之王”的救赎 Adobe的安全性一向饱受诟病，但由于Adobe Flash Player的跨平台广泛应用，现时仍然“讲不出再见”。在Zerodium公布的漏洞收购价格表上，Flash漏洞最高可以卖到8万美元！2015年，Adobe送出近300个漏洞致谢。在Flash彻底退出历史舞台之前，但愿守卫者黑客们多帮助Adobe再抵挡一阵。 2015年Adobe漏洞致谢榜 致谢对象 报告漏洞数量 Goole Project Zero 101 ZDI 55 Qihoo360 55 bilou/NicolasJoly 42 Alibaba 14 Keen Team 8 Trend Micro 5 Fortinet 4 KnownSec 2 Palo Alto Networks 2 FireEye 1 McAfee 1 PKAV 1 Venustech 1 Apple：越狱难度与日俱增 苹果iOS系统的远程越狱漏洞价值百万美金。对越狱爱好者来说，自然不愿意见到漏洞被封堵，但对于普通的苹果用户来说，iOS的安全更新实实在在是一件儿好事，这意味iPhone、iPad等产品安全性不断提升。 2015年苹果漏洞致谢榜 致谢对象 报告漏洞数量 Google Project Zero 44 ZDI 24 TaiG 11 Qihoo360 9 FireEye 7 Alibaba 5 KeenTeam 4 Tencent 3 Fortine 2 Palo Alto Networks 1 Google：开创漏洞奖励先河 Google是最早花钱鼓励黑客寻找自家漏洞的企业，但其漏洞信息比较封闭，往往只公布漏洞报告者榜单，不公开具体涉及哪些漏洞。从今年8月和12月开始，Google的Android系统和Chrome浏览器才分别公开具体漏洞编号。这也是Google致谢的漏洞数量相对较少的重要原因。 2015年Google漏洞致谢榜 致谢对象 Android漏洞 Chrome漏洞 合计 Qihoo360 7 2 9 Trend Micro 5 0 5 Mariusz Mlynski 0 4 4 Google Project Zero 2 0 2 Copperhead Security 2 0 2 Exodus Intelligence 2 0 2 Zimperium 1 0 1 Alibaba 1 0 1 Baidu 1 0 1 Keen Team 1 0 1 Microsoft：免费致谢+赏金计划 微软的漏洞致谢主要来自于每月“补丁星期二”的安全公告，此外微软也推出了赏金计划，专门给Mitigation Bypass（意指绕过系统安全机制的攻击技术）和Edge浏览器等专项产品提供漏洞奖金。 2015年微软漏洞致谢榜 致谢对象 安全公告 漏洞数量 赏金计划 总计 Edge漏洞 绕过技术 ZDI 154 0 1 155 Google Project Zero 93 0 1 94 Palo Alto Networks 34 0 0 34 Qihoo360 22 3 1 26 Baidu 26 0 0 26 Versign iDefense 25 0 0 25 Tencent 14 1 1 16 FireEye 14 1 0 15 Trend Micro 15 0 0 15 Keen Team 11 0 0 11 NSFOCUS 6 0 1 7 Fortinet 7 0 0 7 KnownSec 6 0 0 6 iSight Partners 3 0 0 3 McAfee 2 0 0 2 Venustech Adlab 1 0 0 1 VRV 1 0 0 1 综合以上四家软件巨头的致谢公告，2015年度全球十大黑客天团如下： TOP10 Adobe Apple Google Microsoft 总计 Google Project Zero 101 44 2 94 241 ZDI 55 24 0 155 234 Qihoo360 55 9 9 26 99 bilou/Nicolas Joly 42 0 0 0 42 Palo Alto Networks 1 1 0 34 36 Baidu 0 0 1 26 27 Trend Micro 5 0 5 15 25 Versign iDefense 0 0 0 25 25 Keen Team 8 4 1 11 24 FireEye 1 7 0 15 23 Google Project Zero当之无愧夺魁。作为Google旗下精英团队，Google Project Zero不光捍卫着Google的安全，也用实际行动促进各大软件厂商提升产品安全性；排名第二的ZDI（HP’s Zero Day Initiative）与榜首的漏洞致谢数量差距不大，但ZDI的漏洞大多来自收购而不是靠自身实力挖掘；排名第四的bilou/Nicolas Joly在一年间转战效力于VUPEN、Google Project Zero和微软，因此单独列出。 360、百度和Keen Team三支中国团队也成功进入十大天团，分别名列第三、第六和第九。360的优势在于跨平台的安全研究实力，包括Windows、Android、iOS等系统和Chrome、IE、Edge、Adobe Flash Player等软件均挖掘出不少漏洞；百度则在2015年发力挖掘IE漏洞，凭借26个IE漏洞致谢脱颖而出；Keen Team也属于全能型选手，但没有特别突出的阵地，今年收获的漏洞致谢数量反而落后于百度。 在全球TOP10以外，阿里巴巴、腾讯、绿盟科技、知道创宇等国内团队也或多或少地出现在各大软件厂商的漏洞致谢名单中。随着国内互联网行业持续加大对安全的投入，相信会有更多中国的安全团队活跃在世界舞台上。
