网站安全攻与防的启示录.docVIP

安恒信息专家：网站安全攻与防的启示录 背景 黑客文化的变迁 　　黑客技术的出现像计算机出现一样长久，黑客通过对系统重配置或者重编程获得本来没有的权限。早期的黑客因为对计算机的神秘功能着迷，本着自由的精神在计算机世界里流连而不能自拔。这种自由精神一方面吸引了大批聪明的青年学生投入其中，从而在早期推动了计算机的飞速发展。 　　在上世纪六十年代，他们利用一些技术破坏计算机网络的使用范围，七十年代因为特殊的美国的那种背景，他们提出了计算机应该为人民所用的口号，他们是电脑史上的英雄。到了八十年代，PC已经很便宜了，美国与欧洲的经济得到了长足的发展，黑客们开始为信息共享而奋斗，当时美苏争霸，他们认为应该使两国处于平衡状态，任何一个国家都不能过分强大，否则就会给新的和平带来威胁，他们就积极联络各国，把通过黑客技术拿到的资料卖给各国，一方面自己获得了经济收入，另一方面他们也认为有助于世界的和平，认为自己为世界和平作出了贡献。九十年代可以说是黑客的灾难和混乱时期，作为信息共享的产物，INTERNET一方面为我们提供了极大的便利，另一方面，使用的人多了，技术不再是少数人的专有权力，越来越多的人都掌握了这些，导致了黑客的概念与行为都发生了很大的变化。　　到了二十一世纪，随着互联网的高速发展以及网民爆发式的增长，一个黑客市场已经形成。境外情报机构、企业公司和犯罪团伙都愿意付钱买下有关安全漏洞--以及如何加以利用--的信息。各种网络犯罪每天充斥在我们生活当中，黑客们通过入侵各类网站论坛进行盗取用户数据，并挂上网页木马继续盗取访问网站用户的个人虚拟财产等等。　　2011年度网络犯罪调查报告显示，全球每天就有100万人成为网络犯罪的受害者，全球因网络犯罪造成的直接损失每年达 1140 亿美元。因处理网络犯罪问题而浪费的时间价值是2740亿。因此，网络犯罪导致的损失约为3880亿美元，远远超过了大麻、可卡因和海洛因全球黑市的交易总额(2880亿美元)。从网络犯罪受害者人数来看，中国地区的网络犯罪相较于全球可能更加恶劣：去年，全球有4.31亿成人遭受过网络犯罪的侵害，这其中就有差不多一半的受害者(1.96亿人)来自中国。　　黑客的网络犯罪已经达到了一个前所未有的高度。　　一 互联网的安全威胁　　从1969年区域性的大学主机相连而构成的互联网发展到今天覆盖全球点点滴滴的强大互联网，特别在是互联网的经济与科技领域取得的显著成果，给互联网披上的神话般的面纱。如今，互联网丰富了我们的生活，这所有的一切都来源于Web，Web系统是互联网的重要组成部分，形形色色的Web系统正在改变着我们的生活互联网应用已经渗透我们生活的方方面面，我们可以通过百度在线搜索想要的资料、可以通过网上银行完成在线购物和支付、可以通过微博和博客发表自己的“声音”、可以通过在线交友网站交到朋友。　　但是由于这些WEB应用在设计时是允许任何人、从任何地方登陆进入访问，因而也成为了通往隐藏在深处的重要数据的桥梁。据推算，互联网至少每39秒就有一次攻击。　　2011年年底的CSDN泄密门事件导致国内600万程序员的个人信息被盗取，虽然CSDN及时修复了漏洞，警方也及时抓住了犯罪嫌疑人，但今年依然有犯罪分子通过去年CSDN泄漏的帐号密码偷窃国内知名电商“京东商城”的用户账户，通过账户里的剩余资金大量购买商品。　　这些曝光的安全泄密事件仅仅是个警钟，被公开的这些网站的数据库很早之前就被黑客拖库，而且转手买来卖去，眼下所见的都是被人榨干最后一滴水的陈年资料。谁能保证隐藏在暗处中的黑客们还有其他更多未曝光的资料呢。　　那么，黑客们是如何获取我们的重要信息，网站又是如何被拖库的呢？　　二 黑客攻击WEB典型案例分解　　下面我们为大家分解黑客入侵者的渗透WEB网站的主流手段。　　假设目标站点1/是一个大型综合类网站，会员数目众多。　　1、锁定目标、搜集信息　　 黑客入侵一个目标站点的时候，首先要看该站点是否存在利益价值。目前黑客入侵者的商业攻击主要针对在线购物网站、社交网站、网络游戏、大型论坛、慈善机构、电子政务、金融证券网站等网站。这些网站可以窃取会员用户信息进行社工欺骗，比如利用获取的身份信息对用户亲属进行电话诈骗、利用大部分人习惯用同一个帐号密码的习惯去尝试登录其他网站，并且这些会员信息可以多次出售专卖；黑客入侵者还可以通过入侵政府网站挂“黑链”，因为政府网站在搜索引擎中占据的权重较高，攻击者可以通过此方法使自己指定的网站插入到政府网站页面中，从而提供其在搜索引擎中的排名靠前并盈利。　　黑链是SEO手法中相当普遍的一种手段，笼统地说，它就是指一些人用非正常的手段获取的其它网站的反向链接，最常见的黑链就是通过各种网站程序漏洞获取搜索引擎权重或