搜索

[9370] 2015-09-22_2015年8月数据安全漏洞分析报告

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2015-09-22_2015年8月数据安全漏洞分析报告 2 0 1 5 年 8 月 数 据 安 全 漏 洞 分 析 报 告 安 华 金 和   F r e e B u f   2 0 1 5 - 0 9 - 2 2 安 华 金 和 数 据 库 攻 防 实 验 室 （ 安 华 金 和 数 据 库 攻 防 实 验 室 （ D B S e c   L a b s ） 以 月 为 单 位 ， 将 高 危 漏 洞 汇 总 ， 形 成 分 析 报 告 ， 分 享 广 大 用 户 及 合 作 伙 ） 以 月 为 单 位 ， 将 高 危 漏 洞 汇 总 ， 形 成 分 析 报 告 ， 分 享 广 大 用 户 及 合 作 伙 伴 。 伴 。 8 月 报 告 核 心 观 点 月 报 告 核 心 观 点 1 . W e b 是 数 据 泄 露 的 主 要 渠 道 2 . 互 联 网 成 为 数 据 泄 漏 频 发 地 3 . 8 月 常 见 数 据 泄 漏 原 因 4 . 针 对 数 据 泄 漏 的 防 范 手 段 报 告 正 文 报 告 正 文 2 0 1 5 年 8 月 ， 我 们 总 结 发 布 了 1 0 2 个 数 据 泄 密 高 危 漏 洞 ， 这 些 漏 洞 分 别 来 自 漏 洞 盒 子 、 乌 云 、 补 天 等 平 台 ， 涉 及 1 1 个 行 业 ， 企 业 机 构 、 互 联 网 、 交 通 运 输 、 教 育 、 金 融 保 险 、 旅 游 、 能 源 、 社 保 公 积 金 、 医 疗 卫 生 、 运 营 商 、 政 府 。 1 0 2 个 漏 洞 中 ， 其 中 绝 大 多 数 泄 露 威 胁 是 由 S Q L 注 入 和 弱 口 令 引 起 的 。 W e b 是 数 据 泄 漏 的 主 要 渠 道 是 数 据 泄 漏 的 主 要 渠 道 自 互 联 网 普 及 之 日 起 ， W e b 由 于 它 在 网 络 中 的 位 置 和 广 泛 的 用 途 、 不 兼 容 的 协 议 等 多 种 原 因 ， 长 期 处 于 黑 客 视 野 之 中 。 在 《 2 0 1 5 年 全 球 数 据 泄 露 调 查 报 告 》 中 明 确 指 出 由 技 术 原 因 导 致 的 数 据 泄 漏 ， 第 一 名 就 是 W e b 端 的 S Q L 注 入 。 相 信 在 长 时 间 内 这 一 情 况 不 会 有 太 大 好 转 。 互 联 网 成 为 数 据 泄 漏 频 发 地 互 联 网 成 为 数 据 泄 漏 频 发 地 从 8 月 1 0 2 个 数 据 泄 露 威 胁 的 行 业 来 看 ， 互 联 网 行 业 成 为 重 灾 区 。 其 中 3 9 个 数 据 泄 漏 威 胁 直 指 互 联 网 ， 占 全 部 数 据 泄 露 威 胁 的 3 8 % 。 金 融 、 政 府 、 企 业 机 构 紧 随 其 后 ， 漏 洞 比 例 分 别 占 1 0 % 以 上 。
8 月 安 全 漏 洞 行 业 分 布 互 联 网 行 业 ， 不 但 数 据 泄 露 安 全 威 胁 多 而 且 可 能 泄 露 的 数 据 量 也 非 常 巨 大 ， 基 本 都 在 2 0 0 W 条 以 上 。 最 主 要 原 因 是 由 于 互 联 网 公 司 的 业 务 发 展 速 度 较 快 。 但 是 长 期 以 来 互 联 网 公 司 大 多 只 把 关 注 点 放 在 业 务 上 ， 先 让 业 务 系 统 运 转 ， 把 业 务 支 撑 起 来 ， 至 于 这 里 面 的 信 息 安 不 安 全 往 往 是 第 二 步 ； 同 时 还 有 一 个 很 重 要 的 原 因 由 于 成 本 等 因 素 升 级 任 务 往 往 进 行 外 包 ， 以 至 于 大 量 网 站 的 代 码 有 明 显 的 缺 陷 。 这 些 缺 陷 最 终 很 可 能 给 网 站 带 来 数 据 泄 漏 威 胁 。 在 企 业 机 构 和 金 融 行 业 中 ， 上 述 问 题 也 是 数 据 泄 密 的 重 要 原 因 之 一 ， 同 时 还 因 大 量 人 为 因 素 存 在 。 例 如 泛 华 保 险 某 核 心 系 统 、 甘 肃 省 某 政 府 系 统 、 湖 北 政 府 某 平 台 等 存 在 不 同 程 度 的 弱 口 令 。 8 月 常 见 数 据 泄 露 原 因 月 常 见 数 据 泄 露 原 因 W e b 开 发 中 出 现 的 代 码 缺 陷 ， 很 可 能 最 终 转 化 成 数 据 泄 漏 的 漏 洞 。 这 种 漏 洞 往 往 会 被 S Q L 注 入 利 用 ； 弱 口 令 更 多 是 人 为 因 素 导 致 ， 企 事 业 单 位 应 该 在 管 理 机 制 上 尽 量 避 免 弱 口 令 的 出 现 。 8 月 份 数 据 泄 漏 威 胁 主 要 原 因
S Q L 注 入 是 当 前 针 对 数 据 库 安 全 进 行 外 部 攻 击 的 一 种 常 见 手 段 。 当 前 应 用 大 多 基 于 B / S 模 式 开 发 ， 因 此 通 过 S Q L 注 入 等 方 式 对 数 据 库 进 行 攻 击 的 案 例 逐 渐 增 多 ， 其 所 带 来 的 危 害 性 比 例 也 逐 步 升 高 。 弱 口 令 完 全 可 以 通 过 定 期 更 换 密 码 和 利 用 一 些 小 型 安 全 检 查 软 件 来 避 免 。 弱 口 令 虽 然 技 术 难 度 不 高 ， 但 大 量 的 存 在 于 互 联 网 行 业 当 中 。 笔 者 在 分 析 这 部 分 内 容 时 用 一 款 自 动 化 扫 W e b 软 件 ， 对 某 网 段 中 的 网 页 进 行 扫 描 发 现 大 量 弱 口 令 ： 通 过 对 3 0 个 网 站 样 本 进 行 扫 描 ， 发 现 3 个 弱 口 令 。 其 中 第 一 个 是 a d m i n | f 2 9 7 a 5 7 a 5 a 7 4 3 8 9 4 a 0 e 4 。 7 a 5 7 a 5 a 7 4 3 8 9 4 a 0 e ， 百 度 一 下 就 知 道 是 a d m i n 的 C M D 5 值 。 也 就 是 说 第 一 个 网 站 他 的 管 理 员 账 号 密 码 和 用 户 名 是 一 致 的 。 密 码 的 设 置 一 定 要 避 免 和 一 些 可 能 无 需 登 录 就 能 暴 露 出 来 的 信 息 有 关 。 笔 者 建 议 密 码 千 万 不 要 和 用 户 名 、 网 站 名 或 域 名 有 任 何 关 系 ， 这 些 都 是 极 容 易 被 别 人 猜 出 来 的 。 针 对 数 据 泄 露 的 防 御 方 案 针 对 数 据 泄 露 的 防 御 方 案 想 要 针 对 S Q L 注 入 和 弱 口 令 进 行 防 护 ， 主 要 从 三 个 时 间 点 来 进 行 全 面 防 护 ： 1 . 入 侵 事 前 检 查 防 护 。 2 . 入 侵 事 中 阻 断 防 御 。 3 . 入 侵 事 后 追 踪 审 计 ， 减 小 损 失 。 1 . 入 侵 事 前 检 查 防 护 入 侵 事 前 检 查 防 护 事 前 的 重 点 是 检 查 。 在 遭 遇 外 部 入 侵 前 ， 我 们 需 要 定 期 对 整 个 网 络 环 境 进 行 弱 点 扫 描 。 网 络 中 任 何 一 点 的 漏 洞 都 可 能 导 致 最 后 的 数 据 泄 露 。 可 以 定 期 请 专 人 对 整 个 网 络 做 渗 透 测 试 ， 同 时 可 以 通 过 W e b 安 全 扫 描 器 、 数 据 库 漏 洞 扫 描 器 等 相 关 产 品 对 整 个 环 境 进 行 安 全 检 查 。 2 . 入 侵 事 中 阻 断 防 御 入 侵 事 中 阻 断 防 御 过 程 中 防 御 的 重 点 是 准 确 的 判 断 出 哪 些 语 句 属 于 入 侵 语 句 。 推 荐 在 W e b 前 端 部 署 W A F 来 解 决 大 部 分 针 对 W e b 的 入 侵 行 为 。 仅 以 S Q L 注 入 为 例 ， 某 些 类 型 的 S Q L 注 入 W A F 难 以 准 确 识 别 。 会 把 部 分 入 侵 语 句 放 过 去 ， 导 致 数 据 被 泄 露 。 所 以 同 时 推 荐 您 在 数 据 库 前 部 署 专 业 的 数 据 库 防 火 墙 。 因 为 W A F 的 局 限 性 在 于 无 法 对 W E B 发 给 数 据 库 的 S Q L 语 句 进 行 协 议 分 析 、 无 法 进 行 语 句 还 原 ， 只 能 通 过 正 则 匹 配 来 遍 历 每 种 情 况 。 而 数 据 库 防 火 墙 则 恰 好 弥 补 了 W A F 的 技 术 路 线 缺 陷 。 数 据 库 防 火 墙 的 防 护 策 略 、 手 段 都 是 基 于 S Q L 协 议 解 析 而 来 。 数 据 库 防 火 墙 在 防 止 S Q L 注 入 上 彻 底 的 解 决 了 W A F 以 牺 牲 性 能 为 代 价 的 方 式 。 相 信 如 何 数 据 库 防 火 墙 和 W A F 配 合 使 用 会 使 您 的 数 据 更 加 安 全 。 对 数 据 密 级 要 求 比 较 高 的 企 业 ， 可 以 通 过 数 据 加 密 软 件 对 数 据 库 中 最 重 要 的 数 据 进 行 加 密 。 这 样 即 使 黑 客 拿 走 了 数 据 库 中 的 部 分 数 据 ， 也 只 是 拿 到 了 密 文 。 数 据 库 加 密 技 术 利 用 复 杂 的 算 法 可 以 保 证 在 一 定 时 间 内 黑 客 是 无 法 破 译 出 明 文 内 容 。
3 . 入 侵 事 后 减 小 损 失 防 御 入 侵 事 后 减 小 损 失 防 御 通 过 对 用 户 访 问 数 据 库 行 为 的 记 录 、 审 计 分 析 ， 帮 助 用 户 事 后 进 行 数 据 泄 密 行 为 的 追 根 溯 源 ， 提 高 数 据 资 产 安 全 。 关 于 弱 口 令 更 多 在 于 管 理 者 的 安 全 意 识 和 责 任 心 。 相 信 广 大 管 理 员 只 要 保 持 定 期 更 换 复 杂 的 密 码 就 可 以 从 根 本 上 断 绝 弱 口 令 的 存 在 。 结 束 语 结 束 语 为 了 实 现 让 数 据 使 用 更 安 全 的 使 命 ， 安 华 金 和 数 据 库 攻 防 实 验 室 有 义 务 和 责 任 为 客 户 提 供 创 新 前 沿 与 稳 定 的 数 据 防 泄 漏 产 品 与 解 决 方 案 。 最 后 ， 也 是 最 重 要 的 ， 用 户 还 是 要 从 主 观 因 素 上 提 高 安 全 意 识 加 强 内 部 安 全 管 理 防 范 。 安 全 就 是 这 样 一 种 形 态 ， 平 时 不 出 状 况 看 不 到 安 全 的 效 果 ， 一 旦 企 业 出 现 了 数 据 泄 露 事 件 ， 其 经 济 损 失 、 名 誉 损 失 将 不 可 估 量 ， 更 甚 者 企 业 形 象 会 一 落 千 丈 ， 从 此 难 以 翻 身 。 8 月 份 数 据 安 全 漏 洞 列 表 月 份 数 据 安 全 漏 洞 列 表




阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理