年度網站安全報告：26%電商網站存高危漏洞

2015-01-27 10:27:34

大云網　點擊量：評論 (0)

日前，國內最大的互聯網安全公司360（NYSE:QIHU）發布了《2014年中國網站安全報告》（以下簡稱《報告》），《報告》指出，2014年，網絡安全問題呈現網站漏洞大規模爆發、大量隱私泄露等重大安全事件高發和網站攻

日前，國內最大的互聯網安全公司360（NYSE:QIHU）發布了《2014年中國網站安全報告》（以下簡稱《報告》），《報告》指出，2014年，網絡安全問題呈現網站漏洞大規模爆發、大量隱私泄露等重大安全事件高發和網站攻擊開始規模化、產業化等顯著特點。預計2015年，網站攻擊與漏洞利用將更加規模化，安全形勢不容樂觀。
存在后門的網站數量大幅攀升
《報告》披露，目前有漏洞和高危漏洞的網站比例較2013年大幅下降，但網站存在后門的比例和絕對數量卻大幅攀升。2014年全年，360網站安全檢測共對覆蓋網站199.6萬個的8409臺網站服務器進行了網站后門檢測，發現約3465臺服務器存在后門，占比41.2%，比2013年增多了7.4個百分點。

                     圖1:2013年、2014年服務器被植入后門狀況對比

    后門是一段惡意代碼，攻擊者通過植入這段精心設計的代碼來控制網站，同時，還可以獲得某些敏感的信息，進一步獲得服務器的控制權限。后門一般具有很強的隱蔽性，從而來達到長期控制網站的目的。
    無論是網站服務器后門還是網站漏洞，都極易被黑客所利用。這些漏洞或被黑客利用于盜取銀行卡賬號密碼，或者通過漏洞植入木馬進行破壞。此前有媒體報道稱，大量12306網站用戶信息遭泄露，即是網站漏洞所致；而另有媒體報道稱，網管員王某利用263企業郵箱服務器的漏洞，登錄管理員賬號，導出1.6萬余組企業通訊錄，則是服務器漏洞被利用。
電商類網站安全形勢堪憂
   《報告》顯示，2014年全年，360網站安全檢測平臺（http://webscan.360.cn）共掃描各類網站164.2萬個，其中存在安全漏洞的網站61.7萬個，占掃描網站總數的37.6%；存在高危安全漏洞的網站共27.9萬個，占掃描網站總數的17.0%。有漏洞和有高危漏洞的網站比例都較2013年大幅下降。

                           圖2：電商類網站高危漏洞最多
    分行業看，電子商務類網站存在高危漏洞的比例最高，達到26%；其次為生活信息類（24%）、醫療衛生類（22%）和企業公司類（21%）。銀行類網站相對安全性較高，存在高危漏洞比例最低。
    相較于2013年，電子商務類網站雖然有高危漏洞的網站比例下降了3個百分點，但排名卻從第四名躍升為第一名，安全性在各行業網站中最為堪憂。
由于電商網站自身的特殊性，電商網站服務器中保有大量用戶個人信息和財務信息，因此電商網站安全漏洞危害極大，一旦被犯罪分子利用，將給網站本身和網站用戶乃至互聯網安全帶來極大的危害。不法分子利用電商網站的漏洞通常會篡改網站內容，利用支付鏈接URL跳轉對消費者進行釣魚等；盜取用戶賬戶，進行惡意消費；盜取電商網站數據庫，用于詐騙等違法行為。
    從各個行業網站安全漏洞修復周期來看，音樂影視類、政務網站漏洞平均修復周期最長，分別為97天和86天，對網站安全意識有待提高；而游戲網站、醫療衛生類網站修復漏洞平均周期較短，分別為65天和66天，此幾類網站修復漏洞所需時間要比音樂影視類網站少一個月左右。
全球十大網站安全事件四起發生在中國
    《報告》總結了2014年全球范圍內的十起網站安全事件，包括“OpenSSL心臟出血漏洞”、“eBay數據泄漏”、“索尼被黑客攻擊”等，在去年的網站安全事件中，有四起發生在中國。
    據了解，“121中國互聯網DNS大劫難”、“攜程漏洞事件”、“中國快遞1400萬信息泄露”、“12306用戶數據泄露”這四起網站安全事件在全社會造成了巨大影響。
《報告》認為，根據去年發生的多起網站安全事件來看，網站攻擊與漏洞利用正在向批量化，規模化方向發展，主要表現在以下五個方面：撞庫攻擊越演越烈、全網知識庫大大豐富、建站系統漏洞被廣泛利用、新漏洞發現與利用的速度越來越快、第三方代碼托管平臺被攻擊。
    針對網站安全事件頻發的現象，《報告》專門針對發起攻擊的地域做了研究。研究發現，91.4%的攻擊者IP來自境內，來自境外的攻擊僅為8.6%。其中，境內攻擊主要來自北京（32.9%）、江蘇（13.9%）、浙江（11.4%）、山東（10.0%）、廣東（7.40%）。

                              圖3：發起網站漏洞攻擊的地域分布
    值得一提的是，2014年，360補天平臺共收錄2490名“白帽子”提交的有效0day漏洞24724個，平均每個月收錄有效的0day漏洞2060個，平均每天收錄有效0day漏洞70個。
    補天平臺是360互聯網安全中心推出的國內首個現金獎勵漏洞平臺，旨在建立企業與白帽子之間的橋梁，幫助企業建立SRC(安全應急響應中心)。
    據悉，曾發生用戶數據泄漏的12306等網站均已加入360補天平臺以獲得查補網站漏洞的技術協助。