在“拿下”Office 365后，360Security 又成功越狱iPhone X。11月17日，在首届“天府杯”国际网络安全大赛上，360Security战队30秒内破解iPhone X，实现越狱，拿下单项比赛奖金最高数额20万美元。这是历史上首次在国际破解比赛上实现iPhone越狱，20万美元奖金不仅是本次的比赛的单项最高奖金，也是Pwn比赛历史上单项最高奖金。
目前，这一破解结果已经被苹果官方确认，同时，天府杯主办方也在官方推特对360Security战队再次表示祝贺。
360Security战队还原了创下这个新纪录的过程，以及纪录背后的故事。
30秒实现对iPhone的远程控制
Q:这次破解iPhoneX的过程很刺激吧？
360Security战队：过程很简单，在具体进行破解时，我们使用了不到30秒就通过浏览器获取了手机的完全控制，远程越狱。
之后，裁判进行了验证：在被破解的iPhone X手机上访问一个我们的网址，接着手机就被完全控制，可以获取用户的信息，也可以系统权限安装App。
这是历史上首次在国际破解比赛上实现iPhone越狱，目前，这一破解结果已经被苹果官方确认。
Q：你们平时怎么备战的？
360Security战队：我们的漏洞研究团队主要的日常工作之就是做主流软件的安全漏洞研究工作，平时也都会将发现的漏洞报告给诸如微软、苹果、谷歌、Adobe、VMware等公司，可以说是国内乃至全球贡献漏洞最多的团队之一，这次比赛也是我们平时积累的一次体现。在我们看来，要找到单个漏洞并不难，难就难在平日的技术积累和对安全的理解。
远程越狱是越狱难度最高的
Q：要实现iPhone X的远程越狱，和前几代iPhone、iOS系统相比是否更难？难在哪里？
360Security战队：苹果在iOS系统的安全性有非常大的投入，不仅通过封闭的应用市场控制了手机的软件环境，对安全漏洞的修补、安全防护的机制也不断更新换代。所以每一次新的破解相对于之前的系统和手机，难度就更上一层。不仅FBI曾悬赏百万美元破解iPhone，著名的国际漏洞军火商Zerodium也为iPhone远程越狱开出了百万美元的赏金。
具体到这次破解，它是一次远程越狱（Remote Jailbreak)，这是越狱中难度最高的一种，通常需要搭配多个0day漏洞才能实现。在此次破解中，我们仅使用了两个漏洞就完成了整个过程。其中最大的难点就是在仅使用一个0day漏洞的情况下，直接从Safari浏览器控制iOS内核。从Safari浏览器到内核的入口早被苹果“严防死守”，要突破很不容易，但我们通过这个漏洞，巧妙地绕过防护，实现了越狱。
Q：在很多Pwn比赛前，厂商会狂补漏洞，与参加比赛的白帽黑客赛跑。这一次有同样的情况吗？
360Security战队：就在比赛的前一天，苹果还修复了一个刚在日本东京Pwn2Own 2018年赛事中发现的Safari漏洞，微软也在11月14日的补丁日修补了大量浏览器漏洞。我们本次比赛准备了四个苹果的漏洞，但是这个修补和我们准备的一个漏洞冲突了，因此最后我们从剩下的漏洞出手破解。可以说，这是Pwn比赛的常态，其激烈程度也可见一斑。
Q：苹果、微软这样的顶级科技公司都存在产品漏洞，这是否能在一定层面上说明漏洞是不可避免的？
答：一般来说，平均每千行的软件代码会有6到8个漏洞。从每年的漏洞统计（CVE数量）可以看到，苹果、微软这几家顶级公司都是漏洞最多的，但这不能说明他们是最不安全的。相反这也是一种很好的生态：有非常多的白帽黑客参与其漏洞研究，帮助他们发现安全漏洞，提出修复建议。无时无刻，白帽黑客都在跟黑帽黑客们赛跑，赶在他们之前发现这些安全漏洞，在危险萌生之初就“熄灭”它。
吐槽：黑客里女生太少了
Q：这次发现的漏洞，如果不及时修复被恶意利用的话，会给用户带来哪些安全问题？
360Security战队：这次的攻击项目涉及到微软、苹果和谷歌的多款PC浏览器、苹果手机和国内的多款主流手机、虚拟机软件等，如果没有修复，对用户都会造成不同程度的影响，例如浏览网页就会导致用户的隐私信息、企业的数字资产泄漏、财产丢失、遭到勒索等各类危害。
Q：著名国际漏洞军火商Zerodium为iPhone最新版本越狱开出100万美元的不菲价格，但你们把这些漏洞交给了厂商帮助他们作出安全改进。
360Security战队：作为白帽黑客来说，无论有没有奖励，我们的原则都是希望将发现到的漏洞提供给厂商，帮助他们给用户提供更好、更安全的产品。360公司的漏洞挖掘团队一年为微软、谷歌、苹果等巨头贡献上百漏洞，如果按照漏洞军火来出售，肯定能卖出上千万美元的价值，造成上百亿美元的损失，但是我们的团队都选择将漏洞通过厂商的漏洞响应平台，或者通过与厂商共同参与破解比赛这样的形式，提交漏洞给厂商进行修复。这体现了360白帽黑客的职业操守，也充实了我们以“为爱守护”、“保护用户安全”为出发点的黑客精神。
Q：提起黑客，大众都很好奇你们是群什么样的人？
360Security战队：现在都戏说第一批90后已经开始秃了。但我们可能是从心理到生理都很“年轻”的一群人，平均28岁左右。在大众想象力，黑客的工作一定很酷，但那是来自好莱坞大片的影响。如果大众看到我们是一群每天对着电脑敲代码的人，一定会感觉很枯燥。可是，这就是我们热爱的事，并愿意为此付出大量时间和精力，喜欢挑战，愈战愈勇。如果非要吐槽一下这个群体的话，那就是女生太少了。
