搜索

[13427] 2018-11-17_全球500强企业弃用的Web应用存在安全隐患

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-11-17_全球500强企业弃用的Web应用存在安全隐患 全 球 5 0 0 强 企 业 弃 用 的 W e b 应 用 存 在 安 全 隐 患 米 雪 儿   F r e e B u f   2 0 1 8 - 1 1 - 1 7 前 言 前 言 近 日 ， 一 项 针 对 全 球 领 先 企 业 所 拥 有 的 废 弃 网 站 进 行 的 研 究 表 明 ， 老 旧 的 近 日 ， 一 项 针 对 全 球 领 先 企 业 所 拥 有 的 废 弃 网 站 进 行 的 研 究 表 明 ， 老 旧 的 W e b 应 用 程 序 需 要 进 行 正 确 地 应 用 程 序 需 要 进 行 正 确 地 “ 退 退 役 役 ” 处 理 。 否 则 ， 这 些 已 被 弃 用 很 久 的 资 源 仍 然 会 经 常 影 响 着 企 业 安 全 ， 因 为 这 些 处 理 。 否 则 ， 这 些 已 被 弃 用 很 久 的 资 源 仍 然 会 经 常 影 响 着 企 业 安 全 ， 因 为 这 些 W e b 应 用 程 序 中 具 有 可 利 用 的 应 用 程 序 中 具 有 可 利 用 的 漏 洞 和 缺 陷 。 漏 洞 和 缺 陷 。 世 界 五 百 强 企 业 的 世 界 五 百 强 企 业 的 w e b 应 用 应 用 旧 金 山 安 全 公 司 H i g h - T e c h   B r i d g e 的 研 究 人 员 针 对 英 国 《 金 融 时 报 》 所 列 出 的 世 界 五 百 强 企 业 名 单 进 行 了 调 查 ， 并 在 他 们 弃 用 的 w e b 应 用 程 序 中 发 现 了 诸 多 安 全 问 题 。 根 据 这 份 名 为 《 废 弃 的 W e b 应 用 ： 世 界 五 百 强 企 业 的 “ 阿 喀 琉 斯 之 踵 ” 》 的 报 告 指 出 ： “ 尽 管 这 些 企 业 每 年 的 安 全 支 出 都 在 不 断 增 加 ， 但 被 遗 弃 的 、 影 子 或 遗 留 应 用 程 序 却 可 能 成 为 破 坏 这 些 企 业 网 络 安 全 和 合 规 性 的 最 大 根 源 。 ”
根 据 该 报 告 显 示 ， 7 0 % 的 全 球 5 0 0 强 企 业 的 部 分 网 站 访 问 权 限 都 有 在 互 联 网 黑 市 上 销 售 ； 另 外 9 2 % 的 外 部 W e b 应 用 程 序 具 有 可 利 用 的 安 全 漏 洞 或 缺 陷 。 该 报 告 介 绍 称 ： “ 一 家 美 国 公 司 平 均 拥 有 8 5 . 1 个 应 用 程 序 ， 可 以 很 轻 松 地 从 外 部 检 测 到 ， 并 且 这 些 应 用 通 常 不 受 双 因 素 身 份 验 证 （ 2 F A ） 、 强 身 份 验 证 或 其 他 旨 在 降 低 不 受 信 任 方 应 用 程 序 可 访 问 性 的 安 全 控 制 措 施 的 保 护 。 ” 在 其 研 究 中 ， H i g h - T e c h   B r i d g e 表 示 ， 它 创 建 了 一 份 由 美 国 5 0 0 强 企 业 和 欧 洲 5 0 0 强 企 业 组 成 的 1 0 0 0 家 顶 尖 公 司 名 单 。 接 下 来 ， 它 针 对 这 些 企 业 的 外 部 网 络 、 移 动 应 用 程 序 、 S S L 证 书 、 网 络 软 件 和 云 存 储 的 漏 洞 情 况 进 行 了 评 估 。 结 果 发 现 ， 在 全 球 范 围 内 ， 1 9 % 的 受 检 企 业 拥 有 无 保 护 的 外 部 云 存 储 ， 且 只 有 2 % 的 外 部 W e b 应 用 程 序 通 过 w e b 应 用 程 序 防 火 墙 得 到 了 适 当 保 护 。 而 在 美 国 ， 这 种 情 况 甚 至 还 要 糟 糕 得 多 。 研 究 发 现 ， 2 7 ％ 的 美 国 公 司 最 少 有 一 个 外 部 云 存 储 （ 例 如 A W S   S 3   b u c k e t ） 可 以 在 无 需 任 何 来 自 互 联 网 的 身 份 验 证 即 可 成 功 访 问 。 在 欧 洲 ， 只 有 1 2 ％ 的 受 检 企 业 存 在 同 样 的 问 题 。 最 近 ， 错 误 配 置 的 存 储 服 务 器 频 繁 泄 露 数 据 的 问 题 一 直 困 扰 着 全 球 企 业 。 在 美 国 军 事 承 包 商 、 V e r i z o n 合 作 伙 伴 、 沃 尔 玛 商 户 以 及 市 场 营 销 公 司 数 据 泄 露 新 闻 的 影 响 下 ， 不 安 全 的 云 存 储 问 题 不 断 成 为 民 众 和 媒 体 关 注 的 重 点 ， 引 发 了 人 们 对 于 个 人 和 敏 感 数 据 的 担 忧 情 绪 。 研 究 人 员 还 发 现 ， 在 接 受 调 查 的 美 国 和 欧 盟 w e b 服 务 器 中 ， 只 有 不 到 2 0 % 具 有 符 合 最 新 版 本 支 付 卡 安 全 标 准 P C I   D S S 3 . 2 . 1 的 S S L / T L S 配 置 。 该 报 告 指 出 ：
“ 在 接 受 检 查 的 美 国 公 司 w e b 服 务 器 中 ， 4 8 . 8 1 % 的 S S L / T L S 加 密 等 级 为 ‘ A ’ ， 3 2 . 2 1 % 的 等 级 为 ‘ F ’ 。 7 . 8 2 % 的 w e b 服 务 器 仍 在 使 用 易 受 攻 击 且 已 被 弃 用 的 S S L v 3 协 议 。 ” 至 于 W o r d P r e s s ， 它 现 在 仍 是 3 2 % 的 网 站 的 后 端 平 台 ， 其 安 全 状 况 同 样 不 容 乐 观 。 该 报 告 指 出 ， “ 在 运 行 W o r d P r e s s 的 美 国 公 司 中 ， 有 9 4 % 的 公 司 在 其 w e b 应 用 中 拥 有 一 个 默 认 的 管 理 位 置 ( 在 / w p - a d m i n   U R L 上 ) ， 且 不 受 任 何 额 外 保 护 （ 例 如 h t a c c e s s 认 证 或 I P 白 名 单 等 ） 。 ” 而 在 欧 洲 ， 这 种 情 况 要 糟 糕 得 多 ， 9 9 . 5 % 的 W o r d P r e s s 网 站 存 在 同 样 的 管 理 位 置 薄 弱 的 问 题 。 默 认 的 W o r d P r e s s 管 理 区 域 位 置 简 化 了 强 制 执 行 和 其 他 与 身 份 验 证 相 关 的 攻 击 ， 包 括 密 码 重 用 ， 以 防 管 理 员 帐 户 在 第 三 方 资 源 上 泄 露 ， 以 及 在 W P 插 件 和 主 题 中 利 用 X S S 漏 洞 等 。 * 参 考 来 源 ： t h r e a t p o s t ， 米 雪 儿 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理