近些年在信息技術(shù)的作用下, 人們的生活方式、生活質(zhì)量發(fā)生了翻天覆地的變化, 而這一切都得益于對網(wǎng)絡(luò)技術(shù)的應(yīng)用與使用。當(dāng)然與之對應(yīng)的是在網(wǎng)絡(luò)技術(shù)的不斷應(yīng)用過程中, 網(wǎng)絡(luò)安全問題漸漸成為了人們必須重視的問題。網(wǎng)站漏洞是網(wǎng)絡(luò)安全出現(xiàn)的重要原因。據(jù)資料顯示近些年網(wǎng)絡(luò)漏洞引發(fā)的網(wǎng)絡(luò)安全問題以直線上升速度增長。網(wǎng)絡(luò)漏洞會為攻擊者植入病毒、木馬帶來一定便利, 這些因素會威脅到網(wǎng)絡(luò)用戶的財(cái)產(chǎn)、數(shù)據(jù)、隱私安全。所以網(wǎng)絡(luò)漏洞研究應(yīng)將預(yù)防作為起始點(diǎn), 控制被攻擊幾率, 制定科學(xué)的風(fēng)控方法。
一、常見漏洞
目前最為常見的網(wǎng)絡(luò)問題攻擊對象是操作系統(tǒng)、服務(wù)器以及網(wǎng)頁。 (1) 操作系統(tǒng)漏洞。該漏洞實(shí)際上指的就是計(jì)算機(jī)系統(tǒng)自身的技術(shù)缺陷、技術(shù)問題。據(jù)資料統(tǒng)計(jì)當(dāng)前大眾所用最普遍的系統(tǒng)是Windows系統(tǒng)隨后是Unix、MacOs等類型系統(tǒng)。其中Windows的開源特性使得該系統(tǒng)經(jīng)常出現(xiàn)漏洞。這些漏洞大多是因?yàn)樵谲浖O(shè)計(jì)之初考慮不嚴(yán)謹(jǐn)、設(shè)計(jì)存在失誤引發(fā)的。比如我們經(jīng)?？吹降南到y(tǒng)補(bǔ)丁實(shí)際上大多是在修復(fù)上個世紀(jì)的漏洞。當(dāng)然一部分用戶由于沒有正確使用系統(tǒng), 同樣會導(dǎo)致系統(tǒng)陷入故障與漏洞問題。 (2) 服務(wù)器漏洞。在服務(wù)器的運(yùn)行過程中其本身實(shí)際上會受到很多因素的威脅, 包括拒絕服務(wù)、SQL注入、IIS攻擊等。服務(wù)器漏洞形式具體有這樣幾種:第一種服務(wù)器無法響應(yīng)用戶訪問。第二種網(wǎng)關(guān)接口存在安全漏洞。第三種用戶在向服務(wù)器發(fā)送信息時(shí), 賬號、密碼信息遭到不發(fā)分子遂以竊取, 是盜號問題的重要原因。 (3) 網(wǎng)頁漏洞。網(wǎng)頁實(shí)際上很容易遭到攻擊。目前比較常見的兩種漏洞包括注入、身份認(rèn)證與會話管理失效。首先是注入, 從字面意思理解來看, 不論是來自于哪里的數(shù)據(jù)實(shí)際上都能夠成為載體。包括外部網(wǎng)頁服務(wù)、內(nèi)部網(wǎng)頁服務(wù)、參數(shù)以及用戶。在黑客攻擊這些數(shù)據(jù)的過程中很有可能會選擇利用發(fā)送惡意數(shù)據(jù)的方式, 更改原有程序, 此時(shí)就會出現(xiàn)注入漏洞。該漏洞很有可能導(dǎo)致數(shù)據(jù)穩(wěn)定性失衡, 引發(fā)數(shù)據(jù)破壞、數(shù)據(jù)丟失問題。另外拒絕服務(wù)、不具備審計(jì)性同樣是該問題引發(fā)的現(xiàn)象。其次是訪問管理與身份驗(yàn)證系統(tǒng)的失效問題。攻擊者通過特殊的黑客技術(shù)黑掉系統(tǒng), 導(dǎo)致身份驗(yàn)證失敗。常用方法為釣魚攻擊引發(fā)身份認(rèn)證失效。
二、漏洞防護(hù)方法
(1) 操作系統(tǒng)防護(hù)。對Windows系統(tǒng)的常見漏洞形式分析, 得出下述兩種問題解決方法。第一種設(shè)計(jì)錯誤類問題, 對于此類問題只需根據(jù)微軟公司的提示及時(shí)安裝對應(yīng)補(bǔ)丁即可。當(dāng)然因一些用戶沒有使用正版設(shè)備, 得不到正版補(bǔ)丁更新提示, 所以需要安裝軟件程序提示用戶安裝電腦補(bǔ)丁如360.第二種設(shè)置錯誤類問題, 對于此類問題只要用戶自行修改電腦系統(tǒng)配置即可。 (2) 服務(wù)器防護(hù)。針對服務(wù)器運(yùn)行過程中遇到的問題常見解決方法包括提高對客戶端的管理力度、增設(shè)IP訪問條件限制要求、蜜罐技術(shù)、反向代理、密碼安全、防網(wǎng)頁篡改技術(shù)等。 (3) 網(wǎng)頁防護(hù)。對于注入類漏洞, 需要采用分隔查詢語句、命令語句、數(shù)據(jù)的方法, 通過這樣的方式減少漏洞發(fā)生幾率。目前比較常用的方法為應(yīng)用安全API, 而不是使用解釋器。當(dāng)然也可以用參數(shù)化接口或是直接將信息遷移到實(shí)體框架、ORM當(dāng)中。用白名單完成賬號登入同樣是拒絕注入攻擊的有效方法。動態(tài)查詢則可以應(yīng)用解釋器完成特殊字符轉(zhuǎn)義。為防止發(fā)生身份驗(yàn)證與會話管理失效, 常用方法為:第一種應(yīng)用非過時(shí)哈希技術(shù)存儲密碼。第二種做好弱密碼檢查。第三通過多種方式檢驗(yàn)身份。第四種當(dāng)服務(wù)器與賬號密碼遭到強(qiáng)行攻擊時(shí), 由系統(tǒng)日志及時(shí)告知管理員。
三、漏洞挖掘
(一) 數(shù)據(jù)挖掘
這項(xiàng)技術(shù)通過挖掘大量的信息數(shù)據(jù)獲知漏洞因素。該技術(shù)能夠找到大量信息, 借助爬蟲技術(shù)完成數(shù)據(jù)處理、數(shù)據(jù)信息、數(shù)據(jù)整合、數(shù)據(jù)監(jiān)測等。最后利用特殊算法與統(tǒng)計(jì)方式抽取有用信息。該技術(shù)結(jié)合網(wǎng)絡(luò)特征挖掘數(shù)據(jù), 利用統(tǒng)計(jì)技術(shù)、數(shù)據(jù)分析技術(shù)完成在線異常情況分析, 得出網(wǎng)站、服務(wù)器、系統(tǒng)漏洞因素, 能夠有效找出系統(tǒng)與網(wǎng)站自身的脆弱性問題。
(二) 二進(jìn)制對比
這項(xiàng)技術(shù)又被成為補(bǔ)丁對比技術(shù)。二進(jìn)制對比充分利用了已知漏洞, 因此從某些角度來說, 二進(jìn)制對比這項(xiàng)技術(shù)是一種效果非常突出的分析技術(shù)。在不知道漏洞成因與具體位置時(shí), 就可以利用補(bǔ)丁前后二進(jìn)制文件進(jìn)行成因、位置確定。當(dāng)然這種技術(shù)實(shí)際上是一種統(tǒng)稱, 比較常見的技術(shù)包括文件反匯編比較與字節(jié)比較。
(三) 網(wǎng)絡(luò)爬蟲掃描
在挖掘漏洞前通常需要先行掃描漏洞。掃描包括指紋識別掃描、主機(jī)掃描、端口掃描等, 可以說掃描技術(shù)是一種效果非常突出的防御技術(shù)。在掃描操作系統(tǒng)、主機(jī)與端口的過程中, 程序能夠得到大量的有用信息。隨后軟件根據(jù)這些信息就能夠得知電腦本身潛藏的問題與風(fēng)險(xiǎn)。而網(wǎng)絡(luò)爬蟲則是可以自動抓取互聯(lián)網(wǎng)信息的程序。網(wǎng)絡(luò)爬蟲能夠?qū)⑾螺d到的網(wǎng)絡(luò)網(wǎng)頁鏡像進(jìn)行備份與深層處理。不論是掃描還是網(wǎng)絡(luò)爬蟲都只不過是漏洞挖掘的步驟, 能夠得到很多有用信息。二者并不能直接獲得漏洞, 往往需要配合其他插件與技術(shù)挖掘漏洞。