网站不再安全的7大因素
2009-09-18 15:20
176 查看
传统观点认为,上网时只要不浏览色情,股票投资和游戏等网站就是安全的,但根据最近位于波士顿的IT安全及控制公司Sophos的研究报告,我们认为安全的网站却并不一定安全。
根据Sophos的研究报告,今年前6个月的威胁,有23500个新感染的网页,每3.6秒感染一页,与去年同期相比,增加了4倍,许多被感染的网页都是在合法的网站上的。
在最近的一次采访中,波士顿实验室主管Richard Wang概述了合法网站正变得越来越危险的七大主要原因。
恶意广告
许多合法网站依靠付费广告生存,但Wang说,从最近实验室的分析结果中看出,这些广告中往往隐藏中恶意软件,而网站站长和用户都不知情。大多数网站都是与广告公司签订的合同,而不是直接和广告客户,有些广告公司在审查内容方面把关不严。
将广告合并到Flash动画和其它富媒体中普遍存在攻击者可以利用的漏洞,当用户点击这个广告时,浏览器可能(而且经常是)重定向到恶意网站,在后台下载恶意软件,而此时用户完全不知情,他/她还在浏览合法网站呢。这些恶意软件一般收集用户名,密码和敏感的银行数据。
SQL注入攻击
SQL注入攻击是目前最流行的攻击手段,在过去几年已经发生一些引人注目的SQL注入攻击事件。SQL注入攻击是一种利用Web应用程序或网页中编码缺陷进行攻击的技术,例如,黑客可能在某个字段后输入一小段SQL代码来收集邮件地址,如果应用程序对输入的内容未作安全验证,服务器就可能执行黑客输入的SQL命令,让黑客获得服务器的控制权。
Wang表示黑客通常利用那些开发得差劲的网站进行SQL注入攻击。
用户提供的内容
现在人人都可以撰写评论,张贴博客,或在社交网站上发表内容,不怀好意的人利用这一点,对讨论主题进行干扰,发布一些垃圾留言,恶意链接,让不小心点击的人中招,也可能发布一些很吸引人的文字,图片,但却链接到了恶意网站。
窃取网站登录信息
使用上述类型的恶意软件和社交网络手段,攻击者可以窃取内容提供商的登录凭据,这样攻击者就可以以你的身份登录网站,想干什么都可以,一般他们都只会做一点点手脚,你一般不会察觉到,增加一小段代码就可以盗取网站访问者的信用卡或其它数据。
破坏托管服务
这和前面一种情况类似,内容提供商的登录信息被窃取,黑客可以正常登陆然后做一些危害操作,通过这种方式,不怀好意的人可能一下子搞掉网站托管服务商的上千个网站。
本地恶意软件
你访问的网站可能万无一失,但如果你自己的电脑上隐藏了恶意软件,你可能不自觉地就成为攻击者的帮凶,例如,用户可以访问网上银行网站,在输入用户名和密码时,木马记录了这些敏感信息并把它发给黑客,黑客得到账号后可能将你账号上的钱洗劫一空。
黑客操纵的伪装
最后,黑客可能向你推销假冒商店,包括伪装的安全软件,如果弹出一个警告对话框,那你的电脑可能已经感染,此时,你必须下载一个特定的安全工具才能将其清除,最常见的就是你访问一个网站时,恶意程序秘密下载到你的电脑上。
Wang说“你可能花了39.95美元却买到了一个毫无价值的软件,并可能窃取你的信用卡资料”。
如果你的网站上要放广告,你该怎么做?Wang建议IT安全管理员使用安全扫描软件扫描一下需要第三方托管的内容,开发人员也应该更加努力,编写更安全的代码。
对于那些不懂技术的人,一个明智的做法是每天都执行漏洞扫描,并不断更新安全补丁,加强系统的安全。
来源:ZDNET安全频道
根据Sophos的研究报告,今年前6个月的威胁,有23500个新感染的网页,每3.6秒感染一页,与去年同期相比,增加了4倍,许多被感染的网页都是在合法的网站上的。
在最近的一次采访中,波士顿实验室主管Richard Wang概述了合法网站正变得越来越危险的七大主要原因。
恶意广告
许多合法网站依靠付费广告生存,但Wang说,从最近实验室的分析结果中看出,这些广告中往往隐藏中恶意软件,而网站站长和用户都不知情。大多数网站都是与广告公司签订的合同,而不是直接和广告客户,有些广告公司在审查内容方面把关不严。
将广告合并到Flash动画和其它富媒体中普遍存在攻击者可以利用的漏洞,当用户点击这个广告时,浏览器可能(而且经常是)重定向到恶意网站,在后台下载恶意软件,而此时用户完全不知情,他/她还在浏览合法网站呢。这些恶意软件一般收集用户名,密码和敏感的银行数据。
SQL注入攻击
SQL注入攻击是目前最流行的攻击手段,在过去几年已经发生一些引人注目的SQL注入攻击事件。SQL注入攻击是一种利用Web应用程序或网页中编码缺陷进行攻击的技术,例如,黑客可能在某个字段后输入一小段SQL代码来收集邮件地址,如果应用程序对输入的内容未作安全验证,服务器就可能执行黑客输入的SQL命令,让黑客获得服务器的控制权。
Wang表示黑客通常利用那些开发得差劲的网站进行SQL注入攻击。
用户提供的内容
现在人人都可以撰写评论,张贴博客,或在社交网站上发表内容,不怀好意的人利用这一点,对讨论主题进行干扰,发布一些垃圾留言,恶意链接,让不小心点击的人中招,也可能发布一些很吸引人的文字,图片,但却链接到了恶意网站。
窃取网站登录信息
使用上述类型的恶意软件和社交网络手段,攻击者可以窃取内容提供商的登录凭据,这样攻击者就可以以你的身份登录网站,想干什么都可以,一般他们都只会做一点点手脚,你一般不会察觉到,增加一小段代码就可以盗取网站访问者的信用卡或其它数据。
破坏托管服务
这和前面一种情况类似,内容提供商的登录信息被窃取,黑客可以正常登陆然后做一些危害操作,通过这种方式,不怀好意的人可能一下子搞掉网站托管服务商的上千个网站。
本地恶意软件
你访问的网站可能万无一失,但如果你自己的电脑上隐藏了恶意软件,你可能不自觉地就成为攻击者的帮凶,例如,用户可以访问网上银行网站,在输入用户名和密码时,木马记录了这些敏感信息并把它发给黑客,黑客得到账号后可能将你账号上的钱洗劫一空。
黑客操纵的伪装
最后,黑客可能向你推销假冒商店,包括伪装的安全软件,如果弹出一个警告对话框,那你的电脑可能已经感染,此时,你必须下载一个特定的安全工具才能将其清除,最常见的就是你访问一个网站时,恶意程序秘密下载到你的电脑上。
Wang说“你可能花了39.95美元却买到了一个毫无价值的软件,并可能窃取你的信用卡资料”。
如果你的网站上要放广告,你该怎么做?Wang建议IT安全管理员使用安全扫描软件扫描一下需要第三方托管的内容,开发人员也应该更加努力,编写更安全的代码。
对于那些不懂技术的人,一个明智的做法是每天都执行漏洞扫描,并不断更新安全补丁,加强系统的安全。
来源:ZDNET安全频道
相关文章推荐
- 网站不再安全的7大因素
- 网站不再安全的7大因素
- 2010年6月22日安全中国网站主页被黑
- CString TrimRight 不安全的因素
- 电子商务网站安全解决方案
- 直指要害 用技术确保网站密码安全
- 不能忽略的网站安全问题
- [转载]如何把Https网站中的安全证书导入到java中的cacerts证书库?
- 360网站安全检测平台4月所爆DEDECMS高危漏洞的修复方案
- 网站安全的终极解决之WEB
- php关于网站安全的一些注意事项
- 【转】域名服务商为DNSPOD如何开启“网站安全防御(WAF)”?
- IE11如何解决Oracle 11g EM网站报“此网站的安全证书存在问题” (二)
- Dedecms网站的安全设置
- Mircrosoft Outlook 出现"禁止访问下列具有潜在不安全因素的附件" 的解决方法
- 访问所有HTTPS网站显示连接不安全 (火狐浏览器)
- 建站前的10个因素决定个人网站的成败
- 7月第4周网络安全报告:被篡改的.COM网站占75.4%
- 访问Oracle em https https://localhost:1158/em 报访问网页提示此网站的安全证书有问题解决方法
- 一个厂商网站的SQL安全检测 (啊D、明小子)