9月第2周安全回顾：跨站脚本取代SQL注入 成Web漏洞王

本文同时发布在： [url]http://netsecurity.51cto.com/art/200809/89413.htm[/url]

 

上周恰逢中秋佳节，笑容洋溢在每个人的脸上。希望快乐的心情能够保持长效，但网络安全业内却总是循环在漏洞、补丁，再漏洞、再补丁的怪圈。也许谁都无法打破这个怪圈，因为安全永无宁日，不过庆幸的是，我们正在关注这些变化，从中帮助您解决一些实际问题，预防一些不知所措，才是我们努力的目标。

在51CTO安全专家梁林看来，信息安全在上周（080908至080914）总体表现不错，威胁等级较低，但仍然不能掉以轻心。他提醒企业用户应及时修补服务器的跨站脚本漏洞，以免成为黑客发起攻击的跳板。此外，梁林认为国内安全行业可根据国内企业的实际情况，制定出一套适合国情的安全度量标准，并适时提供相应的产品和服务，相信会有不小的发展空间。

 

服务器安全：跨站脚本漏洞取代SQL注入 成Web漏洞王；关注指数：高

新闻：9月10日，Web应用安全委员会（WASC）当天发布新的安全报告称，在经过深度的手动或自动安全评估后，占受调查网站总数97%的网站都存在许多安全漏洞。该报告一共调查了超过32000个Web站点，使用了基于黑盒白盒原理的手动和自动化安全测试方法，并整合了来自BAH、BT、HP和WhiteHat Security等多家安全厂商的匿名网站测试数据。调查中还发现Web网站存在最多的安全漏洞仍然是跨站脚本、信息泄漏和SQL注入，分别占了漏洞总数的41%、32%和9%。

 

分析：WASC最新报告所透露的消息中，最值得使用Web服务器的企业和用户关注的有两点： 目前Web网站存在最多的前三个安全漏洞仍然是跨站脚本、信息泄漏和SQL注入，但这三种漏洞的所占比例与之前几年报告公开的已有不同，跨站脚本漏洞取代SQL注入成为Web网站上出现最多的漏洞。

另外，报告中还提到所用的基于黑盒白盒的手动和自动化安全测试方法，效率比传统的用扫描工具执行的Web服务器安全检查高出不少。目前企业中普遍使用商业或免费的扫描工具对自己的Web服务器进行安全漏洞检测和审核，扫描的效率不高。由于最近一段时间在互联网上出现了新一轮的SQL注入攻击浪潮，企业的网站大都进行了对应的加固，而一直没有得到太多关注的跨站脚本漏洞，则因为表面上看来威胁较低，也很少有企业刻意去修补。

梁林认为：尽管自动化的扫描工具能够有效的发现Web服务器上存在的漏洞，但企业仍需要要求管理员或采取外包的形式，手动对Web服务器进行安全审核，尽量减少潜在的安全威胁。随着当前黑客利用跨站脚本发起的攻击越来越多，企业也应及时修补Web服务器上发现的跨站脚本漏洞，以免成为黑客发起攻击的跳板。

 

安全研究：互联网安全中心将推出用于衡量安全程度的指标；关注指数：高

新闻：9月8日，非营利组织互联网安全中心（Center for Internet Security）计划推出一系列的用于衡量企业安全程度的指标，以帮助企业和组织判断IT设施的安全性。为了推出这一系列指标，互联网安全专项召集了超过80名来自政府、研究和企业的安全专家，这系列指标推出之后，企业组织将能够更有效的评估目前使用的安全策略及安全产品的有效程度。作为对这系列指标的补充，互联网安全中心还将在今年晚些时候推出一个基于软件评估的安全服务，为其客户提供针对匿名的跨组织安全状态比较等数据。更多信息可以参考互联网安全中心的网站： [url]http://www.cisecurity.org/securitymetrics.html[/url]

 

分析：在进行信息安全项目时，企业的传统做法是在项目前期阶段对拥有的信息资产进行分类，对可能面临的安全威胁和风险进行评估，再根据评估结果确定是否部署一个信息安全策略或安全产品。但对于企业安全策略和产品部署后的实施监控，以及安全策略和产品的效能衡量，目前市场上还没有一个被广泛接受的标准和指标。

尽管现在不少安全厂商在推销自己产品时，也会提供若干体现产品效能的指标，但这些指标大多针对产品本身，而不是从用户的角度来描述部署后的效能。因此，企业在实施安全项目之后，大多是根据项目实施的经验，对项目进行改进，无法有效的将安全项目的提升和改进纳入到企业业务发展方向中去。

梁林认为：目前国内企业在安全项目实施后的度量上比国外企业更为欠缺，相当多的企业甚至连实施项目后基本的安全审计都没有进行过。国内安全行业可根据国内企业的实际情况，制定出一套适合国情的安全度量标准并适时提供相应的产品和服务，相信会有不小的发展空间。

 

专家推荐阅读：

 

1、多个厂商发布软件更新；推荐指数：高
上周多个厂商均不约而同的发布了软件更新，包括 Microsoft于周二发布的9月补丁升级包，Apple推出QuickTime、iPod和iTunes的安全补丁，以及Google针对其最新浏览器产品 Chrome的安全更新程序。其中，Microsoft和Apple所修补的软件漏洞中均有不少较高威胁的远程代码执行漏洞，黑客可利用这些漏洞攻击并在用户的系统上植入恶意软件。建议使用Microsoft、Apple和Google产品的用户及时通过各厂商的升级服务进行修补，查看以下链接可以获得关于这些厂商软件更新的更多信息：

[url]http://www.securityfocus.com/brief/815?ref=rss[/url]
[url]http://www.securityfocus.com/brief/816?ref=rss[/url]
[url]http://www.eweek.com/c/a/Security/Google-Patches-Security-Vulnerabilities-in-Chrome/?kc=rss[/url]

 

2、2008年度报告《提升业务价值和削减经济风险》；推荐指数：中
知名的IT策略站点ITpolicycompliance.com上周发布了最新的2008年度IT治理和合规性报告，介绍了该网站对全球2600多个企业实施IT治理的调查结果，以及针对削减各种风险和提升业务价值的讨论，推荐目前正在或打算实施IT治理或合规性的朋友认真阅读下。点击阅读：

[url]http://www.itpolicycompliance.com/research_reports/it_governance/read.asp?ID=12[/url]

 

3、工具介绍：CookieMonster，穿透HTTPS保护的Cookie偷窃工具；推荐指数：高

在大多数人的印象里，如果通过HTTPS的加密通道向电子商务网站提交敏感数据应该是安全的，黑客并不能轻易的从中拦截或是篡改数据。然而最近发布的一个名为CookieMonster的新工具，能够通过有安全缺陷的电子商务站点偷窃用户的Cookie，即使用户和网站之间的通讯是经过HTTPS保护的。SANS等知名的安全网站已经就该工具的出现向用户发布了警告，有兴趣的朋友可以在以下链接中了解更多关于此工具的信息：

[url]http://www.eweek.com/c/a/Security/HTTPS-Cookie-Hijacking-Tool-CookieMonster-Gobbles-Personal-Data/?kc=rss[/url]

本文转自J0ker51CTO博客，原文链接：http://blog.51cto.com/J0ker/100293，如需转载请自行联系原作者