搜索

[9422] 2015-10-10_2015年9月数据安全漏洞分析报告

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2015-10-10_2015年9月数据安全漏洞分析报告 2 0 1 5 年 9 月 数 据 安 全 漏 洞 分 析 报 告 安 和 金 华   F r e e B u f   2 0 1 5 - 1 0 - 1 0 9 月 报 告 核 心 观 点 月 报 告 核 心 观 点 为 了 提 高 广 大 用 户 的 安 全 意 识 ， 国 内 专 业 数 据 库 安 全 厂 商 安 华 金 和 ， 根 据 每 日 整 理 发 布 来 自 漏 洞 盒 子 、 补 天 、 乌 云 、 等 漏 洞 平 台 的 安 全 资 讯 ， 数 据 库 攻 防 实 验 室 （ D B S e c   L a b s ） 以 月 为 单 位 ， 将 高 危 漏 洞 汇 总 ， 形 成 分 析 报 告 ， 分 享 广 大 用 户 及 合 作 伙 伴 。 1 、   依 旧 危 险 ， 框 架 漏 洞 汹 涌 澎 湃 2 、   政 府 行 业 漏 洞 排 名 第 一 ， 互 联 网 行 业 紧 随 其 后 3 、   月 常 见 数 据 泄 露 原 因 分 析 4 、   针 对 平 台 系 统 漏 洞 的 防 范 手 段 2 0 1 5 年 9 月 ， 安 华 每 日 安 全 资 讯 总 结 发 布 了 1 3 4 个 数 据 泄 密 高 危 漏 洞 ， 这 些 漏 洞 分 别 来 自 漏 洞 盒 子 、 乌 云 、 补 天 等 平 台 ， 涉 及 1 1 个 行 业 ， 行 业 机 构 、 互 联 网 、 交 通 运 输 、 教 育 、 金 融 保 险 、 旅 游 、 能 源 、 社 保 公 积 金 、 医 疗 卫 生 、 运 营 商 、 政 府 。 同 比 8 月 份 的 1 0 2 个 漏 洞 数 量 增 加 3 2 个 。 9 月 份 的 漏 洞 ， 其 中 绝 大 多 数 泄 露 威 胁 来 自 于 平 台 系 统 漏 洞 和 S Q L 注 入 漏 洞 。 W e b 依 旧 危 险 ， 框 架 漏 洞 汹 涌 澎 湃 依 旧 危 险 ， 框 架 漏 洞 汹 涌 澎 湃 W e b 端 依 旧 是 数 据 安 全 的 主 要 软 肋 ， 9 月 份 数 据 安 全 漏 洞 呈 现 的 新 态 势 为 ： 数 据 泄 露 多 是 由 平 台 系 统 漏 洞 引 起 。 平 台 系 统 漏 洞 在 9 月 份 的 漏 洞 总 数 中 占 据 了 半 壁 河 山 。
9 月 平 台 系 统 漏 洞 占 主 要 比 重 这 些 平 台 系 统 漏 洞 中 ， 其 中 威 胁 最 大 的 来 自 语 言 框 架 带 来 的 漏 洞 。 语 言 框 架 （ 例 如 j a v a 的 s t u r t s 2 漏 洞 ） 漏 洞 往 往 隐 藏 深 ， 二 次 开 发 人 员 难 以 进 行 有 效 防 守 。 随 着 框 架 的 广 泛 使 用 ， 漏 洞 的 影 响 范 围 也 远 比 其 他 漏 洞 广 泛 。 9 月 份 爆 发 的 平 台 系 统 漏 洞 和 几 种 主 要 语 言 框 架 被 爆 出 漏 洞 存 在 密 切 关 系 。 大 政 府 行 业 漏 洞 排 名 第 一 ， 互 联 网 行 业 紧 随 其 后 大 政 府 行 业 漏 洞 排 名 第 一 ， 互 联 网 行 业 紧 随 其 后 从 9 月 1 3 4 个 收 到 数 据 泄 露 漏 洞 威 胁 的 行 业 来 看 ， 互 联 网 行 业 依 旧 是 重 灾 区 。 其 中 4 3 个 政 府 行 业 漏 洞 （ 包 含 了 卫 生 医 疗 、 教 育 、 社 保 公 积 金 几 个 子 类 ） 占 比 3 2 % ， 互 联 网 行 业 占 全 部 数 据 泄 露 威 胁 的 2 8 % 。 金 融 、 运 营 商 、 企 业 机 构 紧 随 其 后 ， 漏 洞 比 例 分 别 占 1 0 % 以 上 。 注 ： 其 中 互 联 网 行 业 包 含 了 互 联 网 金 融 ， 未 归 类 在 传 统 金 融 行 业 中 。 9 月 数 据 安 全 漏 洞 行 业 分 布 情 况 9 月 政 府 大 行 业 中 ， 其 中 教 育 行 业 漏 洞 数 量 暴 涨 ， 虽 然 本 月 教 育 行 业 只 有 1 0 个 漏 洞 ， 但 同 比 8 月 份 的 2 个 则 是 增 加 了 5 倍 ， 占 整 体 漏 洞 总 数 的 7 % 。 教 育 行 业 被 集 中 爆 出 漏 洞 与 自 身 网 站 框 架 陈 旧 ， 以 及 维 护 不 到 位 有 直 接 关 系 。 教 育 行 业 中 有 7 个 漏 洞 是 平 台 系 统 存 在 的 漏 洞 ， 平 台 系 统 漏 洞 主 要 是 由 于 平 台 系 统 没 有 及 时 升 级 维 护 。 1 0 个 中 还 存 在 一 个 一 个 弱 口 令 漏 洞 ， 该 弱 口 令 直 接 被 白 帽 子 用 工 具 爆 破 出 密 码 。 相 信 通 过 合 理 的 制 度 和 一 定 的 辅 助 软 件 弱 口 令 问 题 会 很 快 被 杜 绝 。 社 保 公 积 金 年 初 各 地 大 范 围 曝 出 系 统 漏 洞 后 ， 每 月 仍 有 数 据 安 全 漏 洞 持 续 发 布 。 在 企 业 机 构 、 金 融 行 业 、 政 府 和 互 联 网 中 中 ， 也 存 在 上 述 问 题 。 虽 然 本 月 平 台 系 统 漏 洞 占 据 了 主 导 地 位 ， 但 S Q L 注 入 也 广
泛 的 存 在 于 各 个 行 业 之 中 。 g e t s h e l l 、 错 误 配 置 、 弱 口 令 等 依 旧 没 有 杜 绝 。 而 互 联 网 行 业 由 于 其 行 业 特 性 ， 常 年 累 月 处 在 数 据 泄 露 威 胁 的 阴 影 下 。 9 月 常 见 数 据 泄 露 原 因 分 析 月 常 见 数 据 泄 露 原 因 分 析 开 发 中 出 现 的 代 码 缺 陷 ， 很 可 能 最 终 转 化 成 数 据 泄 漏 的 漏 洞 。 平 台 系 统 漏 洞 主 要 包 含 两 种 类 型 ： 类 型 1 、 二 次 开 发 中 由 于 开 发 人 员 对 输 入 输 出 参 数 、 逻 辑 判 断 等 出 现 失 误 而 造 成 的 漏 洞 。 这 类 漏 洞 虽 然 数 量 大 ， 但 影 响 面 窄 ， 且 易 于 修 复 。 类 型 2 、 开 发 W e b 程 序 使 用 的 语 言 框 架 自 身 存 在 的 漏 洞 。 这 种 漏 洞 往 往 会 直 接 导 致 对 整 个 W E B 服 务 器 的 入 侵 ， 并 暴 露 出 W e b 服 务 器 后 台 连 接 的 数 据 库 信 息 。 9 月 份 数 据 泄 漏 威 胁 主 要 原 因 框 架 引 起 的 平 台 系 统 漏 洞 想 要 治 根 需 要 对 框 架 版 本 进 行 合 理 升 级 。 如 果 由 于 各 种 原 因 无 法 对 框 架 版 本 进 行 升 级 也 可 以 通 过 权 限 限 制 来 约 束 ， 以 及 进 行 自 动 删 除 后 门 的 设 置 。 笔 者 在 分 析 平 台 系 统 漏 洞 时 利 用 工 具 对 某 网 段 中 的 网 页 进 行 扫 描 发 现 存 在 s t r u t s 2 漏 洞 的 网 页 。 成 功 植 入 W e b s h e l l 的 网 页 （ 对 其 中 敏 感 字 进 行 处 理 ） 笔 者 通 过 对 2 0 0 个 网 站 进 行 s t r u t s 2 漏 洞 检 测 发 现 部 分 网 站 存 在 漏 洞 。 上 传 w e b s h e l l ， 通 过 后 门 可 以 查 询 W e b 服 务 所 在 服 务 器 的 大 量 核 心 信 息 以 及 数 据 库 信 息 。 如 下 面 的 例 子 ， 那 到 管 理 员 权 限 直 接 访 问 查 看 对 方 W e b 服 务 器 中 的 全 部 内 容 。 不 仅 可 以 看 到 网 站 内 容 ， 还 可 以 通 过 查 询 配 置 信 息 找 到 后 台 数 据 库 位 置 。
被 入 侵 网 站 服 务 器 上 目 录 结 构 图 虽 然 比 例 不 高 但 依 旧 存 在 的 弱 口 令 和 配 置 错 误 是 纯 粹 人 为 因 素 导 致 ， 企 事 、 业 单 位 应 该 在 管 理 机 制 和 从 业 人 员 水 平 上 加 强 投 入 ， 尽 量 避 免 人 为 因 素 给 企 业 、 事 业 单 位 造 成 的 潜 在 威 胁 。 针 对 平 台 系 统 漏 洞 的 防 御 方 案 针 对 平 台 系 统 漏 洞 的 防 御 方 案 抵 御 平 台 系 统 漏 洞 威 胁 可 以 通 过 对 应 的 第 三 方 软 件 ， 这 里 笔 者 给 出 不 通 过 第 三 方 软 件 就 可 以 加 固 平 台 系 统 的 3 点 建 议 ： 1 . 第 一 时 间 针 对 存 在 漏 洞 的 平 台 系 统 进 行 合 理 升 级 。 2 . 严 格 限 制 平 台 系 统 上 的 读 、 写 、 运 行 、 上 传 权 限 。 3 . 定 期 关 注 日 志 。 相 信 以 上 3 点 建 议 会 帮 助 您 有 效 的 加 固 平 台 系 统 应 对 平 台 系 统 漏 洞 威 胁 。 1 、 、   第 一 时 间 针 对 低 版 本 平 台 系 统 进 行 合 理 升 级 第 一 时 间 针 对 低 版 本 平 台 系 统 进 行 合 理 升 级 时 刻 关 注 自 己 平 台 所 用 框 架 的 官 网 ， 注 意 及 时 升 级 到 合 适 版 本 。 避 免 使 您 采 用 的 框 架 已 存 在 漏 洞 ， 暴 露 在 黑 客 的 威 胁 之 下 。 可 以 定 期 采 用 对 应 的 平 台 系 统 漏 洞 扫 描 工 具 ， 及 时 发 现 新 出 现 的 漏 洞 。 尽 量 避 免 使 用 缺 乏 维 护 的 开 源 框 架 。 在 可 上 传 的 部 分 进 行 严 格 的 参 数 验 证 ， 防 止 被 上 传 图 片 、 邮 件 、 文 档 等 形 式 的 木 马 。 2 、 、   严 格 限 制 权 限 严 格 限 制 权 限 从 上 图 可 以 看 出 网 站 对 用 户 权 限 限 制 不 到 位 ， 同 一 个 账 号 同 时 存 在 读 、 写 、 上 传 、 运 行 等 权 限 。 一 个 账 户 尽 量 不 要 同 时 赋 予 太 多 权 限 。 被 入 侵 账 号 如 果 有 大 部 分 权 限 ， 导 致 黑 客 可 以 直 接 对 平 台 系 统 所 在 的 服 务 器 进 行 读 取 、 上 传 木 马 、 运 行 木 马 等 行 为 。 为 避 免 这 一 现 象 尽 量 在 不 影 响 应 用 的 前 提 下 最 大 限 度 限 制 所 有 用 户 的 权 限 。 尤 其 要 限 制 W e b 服 务 器 系 统 账 号 的 权 限 。 做 好 权 限 限 制 ， 可 以 确 保 即 使 木 马 被 上 传 到 W e b 服 务 器 ， 也 无 法 执 行 。 有 效 的 防 止 框 架 漏 洞 被 利 用 。 3 、 、   定 期 关 注 日 志 定 期 关 注 日 志 定 期 关 注 日 志 文 件 主 要 关 注 两 部 分 。 1 、 删 除 日 志 文 件 中 的 敏 感 信 息 。 例 如 修 改 密 码 等 过 程 有 可 能 会 把 旧 密 码 以 明 文 的 形 式 存 在 日 志 文 件 中 。 黑 客 发 现 旧 密 码 ， 很 可 能 通 过 旧 密 码 特 征 猜 测 出 新 密 码 。 最 终 导 致 密 码 被 破 解 ， 服 务 器 被 入 侵 。 2 、 关 注 日 志 中 的 异 常 行 为 ， 确 定 是 否 有 黑 客 对 平 台 系 统 进 行 而 已 扫 描 或 者 渗 透 。 结 束 语 结 束 语
黑 客 通 过 主 动 或 被 动 信 息 的 方 式 进 行 信 息 收 集 。 分 析 信 息 寻 找 整 个 环 境 中 最 薄 弱 的 环 节 。 数 据 安 全 符 合 木 桶 原 理 ， 整 个 环 境 的 安 全 水 平 和 各 个 安 全 防 护 中 最 短 的 一 块 相 关 。 想 要 做 好 数 据 安 全 ， 不 单 单 是 要 对 网 络 、 数 据 库 、 服 务 器 、 硬 件 等 关 键 设 施 进 行 安 全 加 固 ， 同 时 也 要 针 对 服 务 器 上 的 核 心 软 件 进 行 加 固 才 可 能 真 正 做 到 数 据 安 全 。 最 后 ， 也 是 最 重 要 的 ， 用 户 还 是 要 从 主 观 因 素 上 提 高 安 全 意 识 ， 加 强 内 部 安 全 管 理 防 范 。 安 全 就 是 这 样 一 种 形 态 ， 平 时 不 出 状 况 看 不 到 安 全 的 效 果 ， 一 旦 企 业 出 现 了 数 据 泄 露 事 件 ， 其 经 济 损 失 、 名 誉 损 失 将 不 可 估 量 ， 更 甚 者 企 业 形 象 会 一 落 千 丈 ， 从 此 难 以 翻 身 。 < 查 看 9 月 数 据 安 全 漏 洞 列 表 请 点 击 阅 读 原 文 > *   作 者 ： 安 华 金 和 （ 企 业 账 号 ） 刘 思 成 、 沈 雪 峰 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理