《01.360胡振勇-电商网站安全-360在网站安全防护中的实践》.pdf

电商网站的安全 360在网站安全防护中的实践 胡振勇huzhenyong@360.cn 2014年5月 2013 - 2014 • 团购退烧了... • 比特币火了... • P2P网贷流行了... • 京东上市了... 网站服务的两类安全威胁 应用类安全威胁 互联网网站的安全威胁 • 应用安全威胁 • WEB漏洞 • 入侵服务器，将服务器变为肉鸡，发起攻击戒者作为代理跳板 • 网站挂马，ddos木马戒者盗号木马 • 页面/DNS劫持，黑SEO • 渗透攻击 • 有针对性的定点攻击，获取用户资料（俗称拖库 ） • 修改付款账号 统计数据 2014年5月 • 网站卫士防护的电商类网站中，有9,416个子域名遭受了Web漏洞攻击 • 电商类网站拦截Web漏洞攻击10,009,041次 • 某鲜花网站在5月13号一天就遭受了11,943次web漏洞攻击 • 电商类网站中，有1,394个子域名遭受了CC漏洞攻击 • 某电商网站一天遭受CC攻击3,350,512次，返些攻击共来自于8,877个 丌同的IP地址。 统计数据 网站卫士拦截漏洞攻击top10 ddos attack 31,158,395 web漏洞攻击top Dedecms Attack 3,378,217 2% 1% nginx attack 1,950,228 2% 1% 1% Get SQL Inject 1,787,189 3% PHP-DDOS脚本攻击 4% UA 1,414,066 Dedecms漏洞利用攻击 Post SQL Inject 832,340 Nginx系统漏洞攻击 5% GET XSS ATTACK 672,789 基于GET的SQL注入攻击 Backup File Attack 575,301 8% 可疑漏洞扫描器行为 Command Injection Attack 546,374