网站面临的主要漏洞和安全研究员发现问题
网络安全形势分析 网站安全
网络安全形势 网站漏洞监测分析
网站漏洞整体形势可以从两个角度分析:一是网站安全检测分析,二是网站漏洞攻击分 析。本章将以奇安信网站安全检测与防护相关产品的统计结果为依据,分析 2019 年 1-12 月 中国网站漏洞情况。
一、 网站安全检测
本节主要以奇安信网站安全监测平台数据为基础,对全国网站漏洞情况进行统计分析。
2019 年 1-12 月,在接受网站安全监测平台检测的 6045405 个网站中,共有 347514 个 (单月去重)网站被扫描检测出安全漏洞,占比为 5.7%,被扫描检出 3131473 次安全漏洞。
对奇安信网站安全监测平台扫描出漏洞次数最多的 10 个漏洞类型进行分析,我们发现 2019 年 1-12 月前 10 的漏洞类型之和占到了总量的 70.1%。具体占比如下表所示。
排名 | 漏洞类型 | 占比 | |
---|---|---|---|
1 | 跨站脚本攻击漏洞 | 37.3% | |
2 | SQL 注入漏洞(盲注) | 8.5% | |
3 | 发现目录启用了自动目录列表功能 | 8.2% | |
4 | SQL 注入漏洞 | 5.7% | |
5 | X-Frame-Options 头未设置 | 3.3% | |
6 | Flash 配置不当漏洞 | 2.8% | |
7 | 发现目录开启了可执行文件运行权限 | 1.6% | |
8 | 发现 install.php 文件 | 1.1% | |
9 | WEB 服务器启用了 OPTIONS 方法 | 0.8% | |
10 | .htaccess 文件可读 | 0.8% | |
表 1 扫出漏洞最多的漏洞类型及漏洞次数占比 |
对奇安信网站安全监测平台扫描出漏洞次数最多的高危漏洞类型进行分析,我们发现 2019 年 1-12 月排名前 5 的高危漏洞类型之和占到了高危漏洞总数的 49.3%。具体占比如下 表所示。
排名 | 高危漏洞类型 | 占比 | |
---|---|---|---|
1 | 跨站脚本攻击漏洞 | 26.9% | |
2 | SQL 注入漏洞(盲注) | 12.8% | |
3 | SQL 注入漏洞 | 8.6% | |
4 | 发现 SVN 版本控制信息文件 | 0.6% | |
5 | SQL 注入漏洞(path) | 0.4% | |
表 2 高危漏洞扫出漏洞最多的漏洞类型及漏洞次数占比 |
二、 网站漏洞攻击分析
本节将主要以奇安信网站卫士数据,对网站漏洞攻击的情况进行分析。
2019 年 1-12 月,奇安信网站卫士共为全国 135600 个网站拦截各类网站漏洞攻击 46.9 亿次,平均每天拦截漏洞攻击 1286.2 万次。
2019 年 1-12 月,全国漏洞攻击次数最多的 10 个类型拦截量占到了漏洞拦截总量的 95.8%,其中,protocol invalidation 类漏洞最多,占 34.0%。具体情况如下表所示。
排名 | 漏洞类型 | 占比 |
---|---|---|
1 | protocol invalidation | 34.0% |
2 | SQL 注入 | 19.7% |
3 | webshell | 13.5% |
4 | 通用漏洞 | 12.5% |
5 | XSS | 5.3% |
6 | 扫描器 | 4.6% |
7 | 本地文件包含 | 2.1% |
8 | RFI | 1.6% |
9 | 文件备份探测 | 1.3% |
10 | nginx 攻击 | 1.2% |
表 3 漏洞类型及攻击次数占比 |
网络安全形势 人工挖掘漏洞分析
开放的第三方漏洞报告平台收录的某个地区的网站漏洞数量,也是考察该地区网络安 全状况的参考指标。本章主要以补天平台数据为基础,对人工报告的网站漏洞情况进行分析。
2019 年 1-12 月,补天平台共收录全国相关网站的 68521 个安全漏洞,其中 67471 个为 事件型漏洞,占全年漏洞的 98.5%;1050 个为通用型漏洞,占 1.5%。
从网站的 IP 归属地(省级)来看,来自北京市的网站被报告漏洞数量最多,共 19437 个, 占比约为 28.4%;其次是广东省,共 7703 个,占比为 11.2%;上海市排第三,占比 8.7%。
从漏洞的危险等级来看,高危漏洞 14650 个,占比为 21.4%;中危漏洞 39237 个,占比 为 57.2%;低危漏洞 14634 个,占比为 21.4%。
从漏洞的技术类型来看,SQL 注入漏洞最多,占比为 33.4%,其次是信息泄露漏洞,占 比为 16.7%,弱口令漏洞,占比为 12.0%。具体漏洞类型分布请见下图。
网络安全形势分析 应急响应现状
网络安全应急响应分析
网络安全厂商提供的网络安全应急服务已经成为政府机构、大中型企业有效应对网络 安全突发事件的重要手段。网络安全应急服务应该基于数据驱动、安全能力服务化的安全服 务运营理念,结合云端大数据和专家诊断,为客户提供安全运维、预警检测、持续响应、数 据分析、咨询规划等一系列的安全保障服务。本章将以奇安信安服团队应急响应情况为依据, 分析 2019 年中国网络安全重大事故处置情况。
《2019 年网络安全应急响应分析报告》完整版可点击下方链接,通过奇安信官网下 载查阅。下载链接:https://www.qianxin.com/threat/reportdetail?report_id=43
一、 全年应急情况统计
2019 年全年,奇安信集团安服团队共参与和处置了 1029 起全国范围内的网络安全应急 响应事件,同比 2018 年全年增长 312 起,投入工时为 2018 年同期的 1.24 倍。通过对 2019 年全年数据分析,19 年 1 月至 3 月,应急请求逐月上升,于 3 月份达到全年最高,4 月份之 后应急请求逐渐趋于平稳。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-9RF319Yr-1663989205551)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.009.jpeg)]
二、 应急事件受害者分析
2019 年全年应急处置事件最多的行业 TOP3 分别为:政府及事业单位(250 起)、医疗 卫生行业(153 起)以公检法(84 起),事件处置数分别占应急处置所有行业的 24.3%、14.8%、 8.2%。三者之和约占应急处置事件总量的 39.2%,即全年近半数的应急处置事件发生于政府 及事业单位、医疗卫生以及公检法行业。政企机构、大中型企业应急行业分布 TOP14 详见 下图:
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IqewngQU-1663989205552)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.010.jpeg)]
2019 年全年应急安全事件的影响范围主要集中在业务专网,占比 33.5%;办公终端,占 比为 19.5%。其次为内部服务器和数据库,16.0%;外部网站和内部网站,14.0%。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-iQFfBDvf-1663989205553)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.011.jpeg)]
三、 应急事件攻击者分析
2019 年全年应急事件中,黑产活动、敲诈勒索仍然是攻击者攻击政府机构、大中型企 业的主要原因。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-OGTCppHQ-1663989205554)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.012.jpeg)]
通过对 2019 年全年政府机构、大中型企业安全事件攻击类型进行分析,排名前三的类 型分别是:木马病毒攻击,占比 50.4%;漏洞利用,占比,17.0%;网页篡改,占比,4.8%。 具体分布如下图所示:
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rW2wDNX0-1663989205555)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.013.jpeg)]
2019 年全年政府机构、大中型企业安全事件遭受攻击常见木马排名前三的为勒索病毒、 挖矿木马以及一般木马,分别占比 32.1%、15.7%、6.4%。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wl0mAR9K-1663989205556)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.014.jpeg)]
从以上数据可以看出,勒索病毒、挖矿木马仍为攻击者攻击政府机构、大中型企业的常 见木马类型。其中,勒索病毒常见于 GlobeImposter 勒索软件、Wannacry 勒索软件、Crysis 勒索软件、GandCrab 勒索软件等。
通过对 2019 年全年应急响应处理漏洞利用攻击事件进行统计分析,弱口令、永恒之蓝 漏洞是政企机构、大中型企业被攻陷的重要原因,其次,weblogic 反序列化也经常作为黑客 日常利用的攻击手段。
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-HZsDRqiQ-1663989205557)(http://public.host.github5.com/imgs/pdf/pdf2.pdf.015.jpeg)]
本文主要是学习2019 年中国政企机构 网络安全形势分析报告 整理而成,有任何问题请随时联系我们
网站面临的主要漏洞和安全研究员发现问题相关推荐
- 偷偷修复漏洞 苹果要求研究员噤声
1.偷偷修复漏洞 苹果要求研究员噤声 此前公布苹果0day漏洞PoC的研究员,如今伤口又被撒盐:前两天更新的iOS 15.0.2又"偷偷"修复了他之前提交的漏洞,而且和往常一样没有 ...
- T-Mobile旗下网站又曝安全漏洞 允许任何人查看他人账户信息
跨国移动电话运营商T-Mobile旗下的一个网站最近又被曝出存在安全漏洞,允许任何人仅通过提供手机号码就能够访问其他任何客户的个人账户信息.而从本月早些时候公布的财务数据来看,T-Mobile目前在全 ...
- 网站安全防护与漏洞扫描的关系
网站安全防护与漏洞扫描的关系,应该就是军队和侦查兵的关系一样,最终目的一致,但是实际的工作目标有所不同.网站安全防护包括漏洞扫描,漏洞扫描是网站安全防护的一种检测工具,能够让网站安全管理人员或者网站站 ...
- 网站apache环境S2-057漏洞 利用POC 远程执行命令漏洞复现
S2-057漏洞,于2018年8月22日被曝出,该Struts2 057漏洞存在远程执行系统的命令,尤其使用linux系统,apache环境,影响范围较大,危害性较高,如果被攻击者利用直接提权到服务器 ...
- 网站安全之XSS漏洞攻击以及防范措施
在网站开发中,安全问题是重中之重的问题,特别像一个sql注入,XSS漏洞攻击,等的防范,如果不做好,网站将存在很大的隐患 XSS漏洞是网站漏洞中最容易出现的一种,至少现在的各大网站中基本都存在,传闻只 ...
- 报告显示37%网站存在JavaScript库漏洞
近日,美国高校安全研究团队发布了一份关于网络上使用JavaScript程序库的分析报告,报告中指出在所调查的13.3万个网站中,有37%的网站存在使用含有漏洞的JavaScript程序库的情况,而且至 ...
- 温州近10%的网站存在高危安全漏洞
打击处理103名黑客,责令858家因网络存在安全隐患或未落实信息安全等级保护的单位整改.处理17家网络隐患单位--记者昨天从我市召开的网络与信息安全信息通报工作电视电话会议获悉,我市有近10%的网站存 ...
- 对搜狐 网易和TOM三大门户网站的SQL注入漏洞检测
分享一下我老师大神的人工智能教程!零基础,通俗易懂!http://blog.csdn.net/jiangjunshow 也欢迎大家转载本篇文章.分享知识,造福人民,实现我们中华民族伟大复兴! 对搜狐. ...
- 一般网站有哪些常见漏洞?
Web应用是指采用B/S架构.通过HTTP/HTTPS协议提供服务的统称.随着互联网的广泛使用,Web应用已经融入到日常生活中的各个方面:网上购物.网络银行应用.证券股票交易.政府行政审批等等.在这些 ...
最新文章
- Kinect for windows的重力感应和角度马达
- UNITY_MATRIX_IT_MV[Matrix]
- jvm性能调优实战 -52修复堆内存区域内存溢出问题OutOfMemoryError: Java heap space
- wxWidgets:wxSplitterWindow 示例
- 深入理解STM32内存管理
- 【操作系统】中断和异常的比较
- C++工作笔记-编译时类型检查与运行时类型检查
- 1.Java 面试题整理(基础篇一)
- 有一动态生成的TABLE,当点击该TABLE中的按钮时,如何得到该按钮所在行的某一列的值啊?...
- markdown在Windows10下安装后启动出现的错误以及一些解决方案
- Android渐变折线图,自定义View之颜色渐变折线图
- php把amr转换成mp3,php代码将amr格式录音转换为mp3
- 【WinCE】WinCE通过USB与PC同步
- ubuntu 安装go语言编译器 liteide
- loj10099 矿场搭建
- Android原生蓝牙音乐绑定、Sink端play流程
- QT随机放1个1和七个2_才知道,1个橙子放2个鸡蛋,只要拌一拌,出锅孩子吃了提高免疫力|橙子|鸡蛋|蒸蛋|食盐|白糖...
- 搭配Online:南方航2020年1月正式退出天合联盟
- 把日期横杠转化为斜杠
- Python 学习入门(0)—— 简明教程