搜索

[629] 2018-05-25_迈向更成功的Web漏洞通知

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-05-25_迈向更成功的Web漏洞通知 迈 向 更 成 功 的 W e b 漏 洞 通 知 A r k T e a m   2 0 1 8 - 0 5 - 2 5 作 者 ： { S J W } @ A r k T e a m 原 文 作 者 ： B e n   S t o c k 、 G i a n c a r l o   P e l l e g r i n o 、 F r a n k   L i 、 M i c h a e l   B a c k e s 、 C h r i s t i a n   R o s s o w 原 文 标 题 ： D i d n ’ t   Y o u   H e a r   M e ?   –   T o w a r d s M o r e   S u c c e s s f u l   W e b   V u l n e r a b i l i t y   N o t i f i c a t i o n s 原 文 会 议 ： N D S S   S y m p o s i u m   2 0 1 8 原 文 链 接 ： h t t p : / / w p . i n t e r n e t s o c i e t y . o r g / n d s s / w p - c o n t e n t / u p l o a d s / s i t e s / 2 5 / 2 0 1 8 / 0 2 / n d s s 2 0 1 8 _ 0 1 B - 1 _ S t o c k _ p a p e r . p d f 过 去 几 年 来 ，   随 着 基 于 W o r d P r e s s ， J o o m l a 或 D r u p a l 等 内 容 管 理 系 统 的 大 量 搭 建 部 署 ， 当 这 些 系 统 出 现 漏 洞 时 ， 则 会 导 致 大 量 网 站 变 得 易 于 受 到 攻 击 。 对 于 安 全 研 究 人 员 和 攻 击 者 来 说 ， 检 测 网 站 和 识 别 网 站 中 的 漏 洞 通 常 相 当 简 单 ， 那 么 迅 速 有 效 地 通 知 受 影 响 的 网 站 管 理 者 非 常 重 要 。 因 此 ， 安 全 社 区 不 仅 需 要 专 注 于 发 现 漏 洞 ， 而 且 还 要 找 到 通 知 易 受 攻 击 网 站 的 快 捷 方 式 。 该 论 文 的 研 究 人 员 选 取 了 2 4 0 0 0 多 个 存 在 漏 洞 的 网 站 ， 将 代 码 寄 存 在 g i t 上 的 网 站 标 记 为 g i t 组 ， 将 以 W o r d P r e s s 为 基 础 搭 建 的 网 站 标 记 为 W P 组 ， 对 这 些 站 进 行 W e b 漏 洞 通 知 的 实 验 。 在 域 名 W H O I S 数 据 库 中 获 取 网 站 管 理 员 邮 箱 地 址 ， 使 用 四 组 前 缀 s e c u r i t y @ , a b u s e @ w e b m a s t e r @ 和 i n f o @ 作 为 不 同 的 收 件 人 进 行 测 试 。 邮 件 内 容 使 用 六 种 不 同 类 型 的 消 息 ： 1 .               ( P l a i n ) 明 文 信 息 。 该 消 息 包 含 一 个 列 表 ， 描 述 已 识 别 的 安 全 问 题 以 及 检 索 详 细 的 技 术 漏 洞 报 告 的 说 明 。 2 .               ( S   /   M I M E ) 电 子 邮 件 。 考 虑 到 漏 洞 通 知 消 息 的 潜 在 敏 感 性 ， 未 签 名 的 消 息 可 能 会 导 致 收 件 人 不 信 任 的 真 实 性 。 我 们 使 用 了 与 普 通 邮 件 相 同 的 电 子 邮 件 文 本 ， 但 使 用 有 效 的 S   /   M I M E 证 书 签 名 。 3 .               ( M a i l b o t ) 明 文 电 子 邮 件 的 第 三 种 变 体 包 含 与 明 文 和 S   /   M I M E 相 同 的 消 息 。 但 是 ， 为 了 测 试 发 件 人 名 称 是 否 对 通 知 成 功 率 有 影 响 ， 修 改 了 发 件 人 电 子 邮 件 地 址 并 显 示 名 称 为 漏 洞 通 知 < n o t i f y   @   . . . > 4 .               ( T r a c k i n g ) 具 有 外 部 资 源 的 H T M L 电 子 邮 件 。 纯 文 本 的 信 息 无 法 知 道 收 件 人 是 否 打 开 过 本 邮 件 ， 所 以 制 作 了 一 份 H T M L 邮 件 并 外 链 了 研 究 机 构 的 徽 标 ， 若 打 开 邮 件 则 服 务 器 会 记 录 。 5 .               ( H T M L ) 没 有 外 部 资 源 的 H T M L 电 子 邮 件 。 外 链 可 能 会 导 致 邮 件 系 统 的 警 告 ， 作 为 对 比 组 ， 将 徽 标 作 为 附 件 发 送 。 6 .               ( F r i e n d l y ) 友 善 的 通 知 。 只 通 知 收 件 人 发 现 网 站 出 现 安 全 问 题 ， 要 求 他 们 提 供 一 个 负 责 处 理 网 站 安 全 的 电 子 邮 件 地 址 。 与 对 照 组 （ 没 有 发 送 安 全 通 知 的 网 站 ） 比 较 ， 通 知 组 的 修 复 率 更 高 ， W o r d P r e s s 的 自 动 安 全 更 新 可 能 会 影 响 W P 组 的 通 知 成 功 率 。 那 些 没 有 自 动 更 新 的 W P 网 站 可 能 不 积 极 维 护 网 站 ， 从 而 减 低 通 知 的 成 功 率 。 图 1   实 验 结 果             电 子 邮 件 的 安 全 通 知 存 在 多 方 面 的 挑 战 。 一 方 面 电 子 邮 件 可 能 因 为 发 送 量 大 而 被 邮 件 系 统 标 记 为 垃 圾 邮 件 ， 或 者 W H O I S 上 的 信 息 不 正 确 ， 不 存 在 该 邮 箱 。 另 一 方 面 ， 收 件 人 不 负 责 网 站 安 全 ， 会 忽 略 掉
邮 件 。 收 件 人 不 信 任 该 邮 件 信 息 ， 认 为 该 邮 件 为 钓 鱼 邮 件 等 垃 圾 邮 件 。 在 未 来 的 W e b 漏 洞 通 知 工 作 中 ， 首 要 面 临 的 问 题 对 邮 件 和 发 件 人 的 信 任 问 题 ， 研 究 人 员 的 建 议 是 与 知 名 组 织 （ 例 如 G o o g l e ， 微 软 ） 合 作 ， 同 时 在 电 子 邮 件 中 公 开 所 有 技 术 细 节 ， 并 去 除 外 链 资 源 等 方 式 来 提 高 信 任 度 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理