跨站腳本攻擊成漏洞“老大” 兩成服務(wù)器被植入后門(mén)

12月21日，360互聯(lián)網(wǎng)安全中心發(fā)布《中國(guó)網(wǎng)站安全報(bào)告（2015）》，對(duì)全年網(wǎng)站漏洞、后門(mén)情況，漏洞遭受攻擊情況、以及個(gè)人信息情況等進(jìn)行了總體研究，報(bào)告顯示，目前，4成網(wǎng)站存在漏洞，黑客利用漏洞對(duì)8萬(wàn)多家網(wǎng)站進(jìn)行篡改，兩成服務(wù)器被植入后門(mén)，黑客引導(dǎo)網(wǎng)民前往惡意網(wǎng)站。

上百萬(wàn)網(wǎng)站有漏洞 高危漏洞占兩成

2015年全年（截至11月18日），360網(wǎng)站安全檢測(cè)平臺(tái)共掃描各類(lèi)網(wǎng)站231.2萬(wàn)個(gè)，較2014年的164.2萬(wàn)個(gè)增加了40.8%。其中，掃出存在漏洞的網(wǎng)站101.5萬(wàn)個(gè)，占比為43.9%，較2014年的61.7萬(wàn)個(gè)增長(zhǎng)了64.5%。其中，掃出存在高危漏洞的網(wǎng)站30.8萬(wàn)個(gè)，占掃描網(wǎng)站總數(shù)的13.3%，較2014年的27.9萬(wàn)個(gè)增長(zhǎng)了10.4%。

從檢測(cè)出漏洞的危險(xiǎn)等級(jí)看，高危漏洞占21.7%，中危漏洞占10.2%，低危漏洞占68.1%。

從漏洞數(shù)量來(lái)看，360網(wǎng)站安全檢測(cè)平臺(tái)全年共掃描發(fā)現(xiàn)網(wǎng)站高危漏洞265.1萬(wàn)次，約為2014年462.1萬(wàn)次的一半，平均每月掃出高危漏洞約24.1萬(wàn)次；平均每天掃出高危漏洞約0.8萬(wàn)次。

相比于2014年，高中低危漏洞掃出數(shù)量大致相當(dāng)，由于掃描網(wǎng)站數(shù)量大大增加，因此，2015年，高中危漏洞的掃出比例大幅下降。

從漏洞類(lèi)型來(lái)看，從網(wǎng)站漏洞類(lèi)型上看，跨站腳本攻擊（XSS）漏洞、異常頁(yè)面導(dǎo)致服務(wù)器路徑泄露、SQL注入漏洞等是2015年最為頻繁掃出的漏洞類(lèi)型。三類(lèi)安全漏洞之和接近網(wǎng)站所有漏洞檢出總次數(shù)的一半。其中，跨站腳本攻擊漏洞占21.9%、異常頁(yè)面導(dǎo)致服務(wù)器路徑泄露占11.8%和SQL注入漏洞占16.0%，這相比2014年，“異常頁(yè)面導(dǎo)致服務(wù)器路徑泄露”之漏洞是今年的“黑馬”漏洞，超過(guò)SQL注入漏洞而躍居第二。

兩成服務(wù)器有被植入后門(mén) 黑客密碼也用弱口令

黑客入侵網(wǎng)站后，一般有三類(lèi)常見(jiàn)攻擊行為：一是篡改網(wǎng)站內(nèi)容；二是植入后門(mén)程序，三是通過(guò)其他方式騙取管理員權(quán)限，進(jìn)而控制網(wǎng)站或進(jìn)行拖庫(kù)。

360互聯(lián)網(wǎng)安全中心對(duì)掃描監(jiān)測(cè)的231萬(wàn)個(gè)網(wǎng)站進(jìn)行大數(shù)據(jù)分析，存在漏洞的網(wǎng)站中被篡改（不包括被植入后門(mén)程序）的網(wǎng)站8.4萬(wàn)個(gè)，比2014年的17.7萬(wàn)個(gè)下降了52.5%，網(wǎng)站遭篡改情況明顯好轉(zhuǎn)。

而從每月數(shù)據(jù)統(tǒng)計(jì)來(lái)看，2015年前十一個(gè)月平均每個(gè)月掃描檢出被篡改網(wǎng)站1.6萬(wàn)個(gè)，比2014年的3.28萬(wàn)，減少了50.5%。

2015年全年（截至11月18日），360互聯(lián)網(wǎng)安全中心共對(duì)21854臺(tái)網(wǎng)站服務(wù)器進(jìn)行了網(wǎng)站后門(mén)檢測(cè)，覆蓋網(wǎng)站322.3萬(wàn)個(gè)，掃描發(fā)現(xiàn)約4097臺(tái)服務(wù)器存在后門(mén)，比2014年的3465臺(tái)服務(wù)器增加了18.2%，約占所有掃描網(wǎng)站服務(wù)器的19%。

2015年全年（截至11月18日）360互聯(lián)網(wǎng)安全中心已掃出各類(lèi)網(wǎng)站后門(mén)文件樣本數(shù)量多達(dá)858.1萬(wàn)個(gè)。其中，SEO后門(mén)數(shù)量占比最高，達(dá)45.0%，其次是一句話木馬，占比35.0%，多功能木馬占比2.0%。與2014年一句話木馬占到了網(wǎng)站后門(mén)的69.2%不同，今年惡意SEO后門(mén)的占比最高。

（下表給出了2015年感染服務(wù)器最多的十個(gè)后門(mén)及其惡意行為。其中僅一個(gè)812Byte后門(mén)，便感染了3253臺(tái)服務(wù)器。）

目前，大部門(mén)網(wǎng)站后門(mén)都暗藏惡意域名鏈接，這些惡意域名鏈接會(huì)指向一個(gè)受黑客控制的惡意網(wǎng)站。下表為2015年網(wǎng)站后門(mén)中出現(xiàn)次數(shù)最多的10個(gè)惡意網(wǎng)站域名。

一般來(lái)說(shuō)，黑客會(huì)在植入控制類(lèi)木馬時(shí)設(shè)置密碼，目的是防止其他黑客使用自己植入的后門(mén)。但DDoS腳本木馬通常則不會(huì)設(shè)置密碼，一般只需要填寫(xiě)要攻擊的host和端口，就可以發(fā)動(dòng)流量攻擊。

有意思的是，很多網(wǎng)站被成功入侵的原因之一就是管理員使用了弱密碼或弱口令。但通過(guò)對(duì)網(wǎng)站后門(mén)的分析研究也發(fā)現(xiàn)，黑客在設(shè)置后門(mén)程序密碼時(shí)，也會(huì)習(xí)慣性的使用一些常見(jiàn)密碼。

（下表就列出了2015年檢出的網(wǎng)站后門(mén)中，使用率最高的10個(gè)密碼及其被掃出的次數(shù)。）

因漏洞 個(gè)人信息泄露將雪崩出現(xiàn)

2015年，關(guān)于網(wǎng)站被拖庫(kù)、撞庫(kù)的新聞時(shí)時(shí)見(jiàn)諸于各類(lèi)媒體。記者根據(jù)報(bào)告統(tǒng)計(jì)顯示，在2015年（截至2015年11月18日）中國(guó)最大的漏洞信息響應(yīng)平臺(tái)補(bǔ)天平臺(tái)收錄的網(wǎng)站漏洞中，共有1410個(gè)漏洞可能造成網(wǎng)站上的個(gè)人信息泄露，這些漏洞共涉及網(wǎng)站1282個(gè)，可能泄露的個(gè)人信息量（本章下文簡(jiǎn)稱(chēng)泄露信息量）高達(dá)55.3億條。這一數(shù)字較2014年的23.6億條翻了一倍還多。如果按照中國(guó)網(wǎng)民總數(shù)為6.5億計(jì)算，這一數(shù)字也就意味著，僅僅在2015年這一年，平均每個(gè)中國(guó)網(wǎng)民就至少可能泄漏了8條以上的個(gè)人信息。

報(bào)告指出，目前，個(gè)人信息的泄漏已經(jīng)成為電信騷擾和網(wǎng)絡(luò)盜號(hào)、網(wǎng)絡(luò)詐騙等網(wǎng)絡(luò)犯罪頻發(fā)的首要原因。越來(lái)越多的黑客和犯罪分子參與到個(gè)人信息的盜竊和交易當(dāng)中。未來(lái)三至五年內(nèi)，個(gè)人信息的泄漏可能仍將呈現(xiàn)不可逆的，雪崩式的增長(zhǎng)。

在萬(wàn)物互聯(lián)時(shí)代，物聯(lián)網(wǎng)、車(chē)聯(lián)網(wǎng)、互聯(lián)網(wǎng)+金融、O2O創(chuàng)業(yè)等領(lǐng)域方興未艾，事實(shí)證明，

廠商重視客戶(hù)端應(yīng)用界面的快速上線，而忽略了應(yīng)用背后常規(guī)、基礎(chǔ)的安全保障功能，以致對(duì)安全投入成本跟不上，導(dǎo)致大量應(yīng)用及網(wǎng)站服務(wù)器端漏洞曝出。

專(zhuān)家說(shuō)法：大數(shù)據(jù)保障網(wǎng)絡(luò)安全

裴智勇博士介紹， 網(wǎng)站漏洞通常為事件型漏洞和通用型漏洞，事件性漏洞不易被自身監(jiān)測(cè)。網(wǎng)站加入補(bǔ)天平臺(tái)，通常意味著網(wǎng)站會(huì)安排專(zhuān)人對(duì)補(bǔ)天平臺(tái)報(bào)告的漏洞進(jìn)行響應(yīng)和處理，但是，統(tǒng)計(jì)顯示，加入補(bǔ)天后，網(wǎng)站信息漏洞呈直線下降趨勢(shì)，安全性大大提高。在2015年被報(bào)告漏洞的備案網(wǎng)站中，有22.0%的網(wǎng)站已加入補(bǔ)天平臺(tái)，還有近八成的網(wǎng)站未加入。

裴智勇博士介紹，，2015年，“數(shù)據(jù)驅(qū)動(dòng)安全”的全新技術(shù)理念正在逐步取代傳統(tǒng)的被動(dòng)防御、靜態(tài)防御、孤立防御的技術(shù)理念，成為廣泛認(rèn)可的重要的網(wǎng)絡(luò)安全發(fā)展趨勢(shì)，并且已經(jīng)取得了一系列的重要成果。威脅情報(bào)將是未來(lái)一兩年內(nèi)，最具發(fā)展?jié)摿Φ男屡d安全服務(wù)技術(shù)。人工智能、機(jī)器學(xué)習(xí)以及大數(shù)據(jù)可視化等一系列新興的網(wǎng)絡(luò)安全技術(shù)，將成為網(wǎng)絡(luò)安全企業(yè)競(jìng)爭(zhēng)力的核心體現(xiàn)。