开源程序漏洞成网站安全最大威胁

近日,由安全宝发布的《2012年网站安全统计报告》指出,自从Web2.0问世以来,Web产品逐渐走向开源化,然而,在低成本的背后却引发了越来越多针对这些开源程序进行的恶意攻击.2012年,Web漏洞呈现出以下三种特征.

遭受攻击最多的程序为dedecms

从受攻击网站类型分析,遭受攻击最多的程序为dedecms,其主要存在“dedecmssearch.php文件注入”与“dedecmsajax_membergroup注入”这两种漏洞,两者占总体攻击数量比例为24.78%,涉及网站比例则高达77.91%.

据了解,dedecms之所以成为很多攻击的众矢之的,一方面是因为dedecms是知名的PHP网站管理系统之一,使用人数广泛,这吸引了众多网络攻击者的注意；

另一方面,dedecms是一个开源系统,不但很多源码直接暴露在网络攻击者面前,而且其程序漏洞在众多网站中保持着相当高的一致性,这就大幅降低了网络攻击的难度.

SQL注入与XSS跨站脚本攻击占据半壁江山

在近两年,虽然SQL注入攻击有所减少,但是依然是Web程序的一个主要威胁.从数据中我们可以看出,在攻击方式中,SQL注入以36.5%的比例位居榜首.通过SQL注入攻击,可以操控数据库、篡改数据,甚至进一步入侵怎么写作器,危害较大.

其次是任意文件读取和跨站脚本攻击,任意文件读取是指通过目录跳转,查看文件内容.跨站脚本攻击也叫XSS,通过XSS攻击可以用户信息,网站挂马操作等,XSS攻击在OwaspTop10中位居第二的位置也说明了其危害性不容小视.

电子商务网站安全性薄弱

从2012年热点漏洞攻击次数TOP10统计数据来看,排名第一的“淘宝客7.4huangou.php注入漏洞”以及排名第四的“shopxpTEXTBOX2.ASP注入”漏洞都针对的是电子商务中的商城程序.而从部分电商的漏洞分析数据中,我们也可以看出,高危、中危漏洞分布广泛,这凸显了电子商务网站所面临的安全困境.

安全宝报告指出,电子商务网站的安全之所以薄弱,原因是由于中小型电子商务网站参与者众多,既缺乏安全编程的开发经验,也缺少相关投入的资金支持.而且,电子商务网站普遍存在重内容轻安全建设与安全管理的问题,很多网站用通用模板进二次开发,存在很多已知漏洞和安全隐患.

此外,安全宝还监测到以下一些攻击,其攻击手法、地理特征和修复难题或将成为2013年网站用户的防御重点：

1.远程拒绝怎么写作类攻击大量上升

DDoS是最常见的攻击手法,而且更直接、更有效.随着网络带宽的应用发展,几台傀儡PC主机就可以通过CC攻击完成对中小型网站的攻击.

2、中国境内近一半DDoS攻击的受害者位于北上广地区

安全宝处理过的DDoS流量攻击在地域上基本覆盖了互联网全部产业较发达的地区,其中近一半受害者来自互联网产业比较发达的北、上、广地区.互联网行业的残酷竞争是这些地区DDoS流量攻击高发的直接诱因.

3、大部分网站发现漏洞或被入侵后难以自我修补

由于Web应用漏洞的威胁越来越大,加之中小型网站在安全技术、知识、经验等方面的储备有限,很难在发现Web应用漏洞时采取有效的防范措施.记者希望通过一系列的权威安全数据和漏洞引起网站用户的高度注意,同时也建议用户寻求专业的网站安全公司共同御敌.