安恒信息发布2014年互联网安全年报
2018-06-11 来源：
1月14日，安恒信息正式对外发布了其2014年互联网安全年报，对2014年整个互联网安全行业的国内外热点安全事件、安全漏洞、安全威胁变化以及APT攻击做了全面的分析。以下是报告的全文：
一、2014年互联网安全状况总结
2014年2月27日，中央成立了网络安全和信息化领导小组，习总书记任组长，并发表重要讲话，强调“没有网络安全，就没有国家安全;没有信息化，就没有现代化。” 显示出最高层保障网络安全、维护国家利益、推送信息化发展的决心。网络安全和信息化建设已经上升为国家重大战略。同时，习主席第一次系统、完整地提出了中国的互联网治理观。通过一系列举措加快国内网络空间法治化进程，并且通过巴西会议、首届世界互联网大会、中美互联网对话等面向全球发出声音。
2014年，也是中国互联网历史上有特别意义的一年。既是中国互联网20周年的日子，也是全球网民数量突破30亿的一年。中国移动互联网用户第一次超过PC用户，中国互联网第一次诞生出3000亿美元的互联网巨头。展现网络大国迈向网络强国的良好态势。
然而，2014年互联网上大大小小的个人信息泄露事件频发，信息安全问题比以往任何一个年份都更为突出。从2014年春运第一天12306爆用户信息泄露漏洞，中间最严重的是泄露了130万考研信息，到年底12月25日12306用户数据遭泄露，账号密码身份证信息被售卖。不论是通过不安全的第三方平台还是继续遭受2012年年底的“泄密门”事件持续影响，过去的2014年都是数据泄密的高发持续增长期，使用失窃账户密码依然是非法获取信息的最主要途径，而这里面三分之二的数据泄露都与漏洞或失窃密码有关。网民的邮箱、微博、游戏、网上支付、购物等账号信息成为网络犯罪分子眼中的“摇钱树”，个人信息倒卖产业链已形成规模。
同时，2014年也是多个互联网严重漏洞集中爆发的一年，如OpenSSL的心脏出血(Heartbleed)漏洞、OpenSSL 3.0的贵宾犬漏洞、Bash Shellshock破壳、IE的0Day漏洞、Struts漏洞、Flash漏洞、Linux内核漏洞、Synaptics触摸板驱动漏洞、USBbad等重大漏洞先后曝光，受影响的网站、操作系统、硬件设备范围之广、之深，闻所未闻。
2014年我们所知的所有网络攻击，实际上还只是冰山一角，未来的网络空间将出现更多错综复杂、有组织性甚至是由敌对国家发起的网络袭击。APT攻击事件目前趋于爆发式增长，有些黑客秘密潜入重要系统窃取重要情报，而且这些网络间谍行动往往针对国家重要的基础设施和单位进行，包括能源、电力、金融、国防等;有些则属于商业黑客犯罪团伙入侵企业网络，搜集一切有商业价值的信息。
安恒信息盘点了2014年发生在全球的热点互联网信息安全事件，以及全年互联网网络漏洞与网站安全分析整理，希望能给我们的国家、机构、组织、企业，还有人民带来安全意识的启发，敲响网络信息安全的警钟。
1、国内互联网安全十大热点事件
No.1：维护网络安全首次列入政府工作报告
2014年2月27日，中央网络安全和信息化领导小组宣告成立，在北京召开了第一次会议。中共中央总书记、国家主席、中央军委主席习近平亲自担任组长，李克强、刘云山任副组长，再次体现了中国最高层全面深化改革、加强顶层设计的意志，显示出保障网络安全、维护国家利益、推动信息化发展的决心。而3月6日播出的央视晚间新闻《据说两会》栏目，向全国观众介绍了当前我国所处的网络安全形势，首次将维护网络安全列为国家安全和发展的重大战略问题之一。
No.2：2014世界互联网大会
以“互联互通 共享共治”为主题的首届世界互联网大会于2014年11月19日至11月21日在浙江乌镇举办。国家互联网信息办公室主任鲁炜在30日国务院新闻办举行的发布会上表示，举办世界互联网大会，旨在搭建中国与世界互联互通的国际平台和国际互联网共享共治的中国平台。世界互联网大会也将永久会址确定在乌镇，打造网络空间的“乌镇峰会”。
此次大会是我国举办的规模最大、层次最高的互联网大会，据了解，有来自100个国家和地区的1000多位政要、企业巨头、专家学者等参加。
中方呼吁国际社会齐心协力，携手建立多边、民主、透明的国际互联网治理体系，共同构建和平、安全、开放、合作的网络空间，并提出九点倡议，具体包括：促进网络空间互联互通、尊重各国网络主权、共同维护网络安全、联合开展网络反恐、推动网络技术发展、大力发展互联网经济、广泛传播正能量、关爱青少年健康成长以及推动网络空间共享共治。
与此同时，安恒信息协助本次大会安全保障部门全面参与了世界互联网大会网络安全技术支撑工作，在安恒信息的风暴中心，技术人员7*24小时对世界互联网大会的网站进行实时监测，大会主会场的网络安全保障工作也闪现着安恒专家团队的身影。同时，作为大会新闻官网唯一网络安全支持保障单位，安恒信息也派出了最强阵容的专家团队驻场支持。据安恒信息世界互联网大会网络安全技术保障团队统计，截止到2014年11月21日13：00世界互联网大会结束，部署在世界互联网大会新闻官网中的WAF防护系统共防护了277531次严重攻击，大部分为SQL注入攻击、跨站脚本、WEB组件漏洞攻击和少量CC攻击。
No.3：2014首届国家网络安全周
2014年11月24日，以“共建网络安全，共享网络文明”为主题的首届国家网络安全宣传周启动仪式在北京中华世纪坛举行。此后，国家网络安全宣传周将于每年11月最后一周举行。
首届国家网络安全宣传周是我国第一次举办全国范围的网络安全主题宣传活动，不仅国家有关职能部门共同参与主办，各省、自治区、直辖市也将同期举办相关主题活动，在全国掀起网络安全宣传的高潮。
活动围绕金融、电信、电子政务、电子商务等重点领域和行业网络中社会公众关注的安全热点问题展开，举办网络安全体验展等系列主题宣传活动，营造网络安全人人有责、人人参与的良好氛。
No.4：2014年春运第一天12306爆用户信息泄露漏洞
2014年铁路春运售票第一天，在经历了1小时宕机之后，12306铁路客户服务中心网站再次爆发用户账号串号问题，大量用户身份证等信息遭泄露。下午15时左右，有网友爆料称12306出现“串号”情况，登录网站购票却出现其他客户信息，疑似信息遭泄露。网友们反映，登录自己账号后，“我的12306”下拉菜单中的“常用联系人”中，显示的是其他用户的订票信息，包括姓名、身份证号码、手机号等信息。下午17时34分，新版12306网站出现泄露大量用户资料的漏洞，危害等级为高。
No.5：支付宝前员工被曝贩卖20G用户资料
此则消息引发了用户对于信息安全问题的关注，也令网络信息贩卖产业链浮现。一条价值较高的用户信息甚至可以被卖至数十元。此次支付宝信息泄露中，超过20G的海量用户信息，被支付宝员工在后台下载并有偿出售给电商公司、数据公司。
一二线电商企业本身有完善的用户数据库，需要进行严格的数据监控，防止数据泄露至黑色交易链。此类信息贩卖产业，有的甚至采取公司的运作方式，从互联网上购买个人或单位信息，转卖他人获利;通过网上购买公民户籍、住房、车辆等个人信息为他人提供婚恋、追债、手机定位等服务项目并从中获利;通过网上购买信息推销产品;利用自身特殊身份盗窃、骗取公民、企业信息转卖获利。
No.6：DNS瘫痪致全国三分之二网站故障
2014年1月21日下午3时20分左右，全国DNS域名解析系统出现了大范围的访问故障，包括DNSPod在内的多家域名解析服务提供商予以确认，此次事故波及全国，有近三分之二的网站不同程度的出现了不同地区、不同网络环境下的访问故障，其中百度、新浪等知名网站也受到了影响。据了解，在此次故障中，多数网站被解析到了65.49.2.178这一IP地址，由于错误的解析，多数网站出现了访问故障，对普通网民而言，最直接的表现就是很多网站打不开了。下午4时许，匿名者黑客团体宣布对在3时31分发生的DNS瘫痪负责。
这次DNS瘫痪除了给网民带来负面体验外，也普及了根服务器的概念：根服务器是是互联网域名解析系统(DNS)中最高级别的域名服务器，目前全世界只有13台，其中10台在美国，另外3台位于英国、瑞典和日本。这给我们敲响了警钟，泱泱网民大国只有根服务器的租用权是相当危险的。
No.7：“2000万开房信息泄露案”开审
2014年2月14日上午，“2000万开房信息泄露事件”首例诉讼在浦东法院第一次开庭审理。原告王金龙起诉汉庭星空(上海)酒店管理有限公司和浙江慧达驿站网络有限公司，并要求赔偿20万元。
王金龙通过分析，完成了《上海市民信息泄露情况分析报告》，上海有86万受害人，居全国首位。
王金龙举例说，根据被泄露的详尽个人信息，不法分子可能筛选出18—35岁女性，进行化妆品、母婴产品等定向电话骚扰。更可怕的是，一旦破译邮箱密码，还可能获取受害人的微博、微信账号，向好友行骗。甚至能入侵支付宝等其他关联账户，直接威胁资金安全。
实名认证的新浪微博账户@股社区发布了一个名为“查开房”的网址。只需输入姓名或身份证号，即可查询到包括身份证号、生日、地址、手机号、邮箱、公司、登记日期等真实信息。
No.8：携程支付出现漏洞 导致大量用户信用卡信息泄露
漏洞报告平台乌云网2014年3月22日披露了携程网安全漏洞信息，漏洞发现者称由于携程开启了用户支付服务接口的调试功能，支付过程中的调试信息可被任意骇客读取。
在乌云披露该信息后，携程官方表示，两个小时内修复该问题。
该漏洞发现者称，由于该漏洞存在，携程安全支付日志可遍历下载，导致大量用户银行卡信息泄露，包含持卡人姓名、身份证、银行卡号、卡CVV码、6位卡Bin等。所谓遍历(Traversal)，是指沿着某条搜索路线，依次对树中每个结点均做一次且仅做一次访问。访问结点所做的操作依赖于具体的应用问题。
携程表示，可能受影响用户为3月21日与3月22日的部分交易客户，目前并没有因该漏洞的影响而造成相应财产损失的情况发现。
No.9：全国硕士考试报名信息遭泄露 1万5买130万用户数据
某漏洞平台报道《国内考研130W报名信息泄漏事件》并表示该漏洞导致泄露的信息正在被黑产利用。出售的用户信息截止到2014年11月份的130万考研用户，而且数据已经被多次转卖，经过与卖家了解，数据泄漏了考研用户的姓名、手机、座机、身份证、住址、邮编、学校、专业等敏感数据。
No.10：年底12306超十万条数据泄露
2014年12月25日，当人们还沉浸在圣诞的喜悦中，乌云漏洞平台率先爆出大量12306用户数据泄露，有公安部门介入调查，根据乌云漏洞平台披露的信息，目前已知公开传播的数据涉及用户数为131653条，尚不清楚是否有更多用户数据被泄露。随后12306通过微信等多个渠道表示，“泄露信息全部含有用户明文密码。我网站数据库所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息系经其他网站或渠道流出。”
铁路公安机关于当日晚，将涉嫌窃取并泄露他人电子信息的犯罪嫌疑人抓获。经查，嫌疑人蒋某某、施某某通过收集互联网某游戏网站以及其他多个网站泄露的用户名加密码信息，尝试登陆网站进行“撞库”，非法获取用户的其他信息，并谋取非法利益。
安恒信息安全研究院对此次泄露事件进行了不同角度的解析，撞库是利用其他泄漏的数据库用户密码信息，对另外一个网站进行密码的碰撞。如果要将6000万条的数据跑完，每秒尝试10次需要两个多月时间才能完成(除非12306完全没有请求数据限制，或者攻击者利用了分布式的方式)，也有可能只跑了一部分数据，真正能撞到的数据还有更多。
另外一个问题就是验证码，12306的PC端的验证码比较难识别，但登陆接口并非只有一个，手机APP也存在登陆接口，经过测试也没有验证码。密码只是md5进行了一次hash，这个接口登陆也不需要进行短信验证。所以很容易利用这个接口进行撞库攻击。如果是撞库，这是否也暴露出了12306对此类新型攻击手段的防范意识与手段有待加强呢?
还有一个可能是数据库信息之前已经泄漏了一部分，这次只是对密文密码的碰撞所得，这样12306日志中就监测不到相关的攻击，目前公布的情况似乎不是这类，但是否真存在其他的地下数据库就不得而知了。查看一下Web服务器的访问日志应该就可以很容易确定，但在目前12306多子站安全问题频发以及该站对撞库攻击应对不力的现状来看，到底会不会存在更严重的数据泄露事件，还有待进一步观察。
2、国际互联网安全十大热点事件
No.1：Windows XP停服
服役13年的微软Windows XP系统于2014年4月8日正式“退休”。尽管这之后XP系统仍可以继续使用，但微软不再提供官方服务支持。对于中国数以亿计的XP用户来说，一方面是对已经使用了13年的操作系统依依不舍，一方面也对即将面临的安全风险顾虑重重。微软官方对此的解释是由于系统运行周期较长，加上技术条件的落后，已经无法抵御网络黑客和病毒的攻击，运行环境方面存在很大的漏洞。
No.2：土耳其石油管道事件
就网络黑客而言，入侵某一跨国企业的电脑系统是一回事，而通过入侵某一国家的民用基础设施并引起爆炸则就完全是另一回事了，而最早发生于2008年的土耳其石油管道爆炸事件就是其中之一，这是一次具有分水岭意义的事件。
美国《星条旗报》网站在2014年12月12日发表题为《俄罗斯和格鲁吉亚战争仅仅几天前，神秘的石油管道爆炸开启了新的网络战时代》的文章：土耳其境内的巴库-第比利斯-埃尔祖鲁姆(Baku-Tbilisi-Erzurum)石油管道从打造之初就将安全性放在了首要位置，但这一管道的建设却依旧没能抵挡住来自黑客的数字战争。据悉，当时黑客首先入侵了该石油管理部门的网络系统，然后安装了一个恶意软件，并关闭了警报、切断了通信联系、给管道内的原油大幅增压。由于管道内压力的不断增大，该石油管道最终发生了爆炸，爆炸的火焰高度甚至高达150英尺。
对此，专门研究美国安全政策的雷维隆(Derek Reveron)博士就认为，土耳其这一事件的披露让美国政府深感忧心，因为全美境内有着长达数千英里的原油、天然气管道线。
No.3：伊朗黑客瞄准航空公司系统
国外知名安全机构指出，虽然来自俄罗斯的黑客动态一直都占据着科技媒体的头条位置，但近年来来自伊朗的黑客们大有后来居上的势头。
这家安全机构透露称，持续两年的调查发现来自伊朗的黑客曾成功入侵了包括韩国、阿联酋、巴基斯坦在内多个商业航空公司的安全系统。根据公布的这份长达86页的报告显示，在过去2年时间里，伊朗黑客已经直接攻击、渗透全球多个国家的政府机关、企业和重要基础设施的网络，受害国家包括美国、中国、英国、德国、加拿大以及土耳其、沙特阿拉伯等16个国家。
同时，这些黑客的攻击目标还包括了旅客的护照照片以及机场员工卡等机密内容，而这些内容的泄露将有可能帮助不法之徒轻松通过机场的安检程序。
No.4：英国央行雇佣黑客
在IT界，大型组织常常雇佣电脑黑客已经是一个众所周知的“秘密”了。这些特殊黑客的工作，就是对系统进行调校，以尽可能地确保公司的安全。然而，尽管这或许已经是一个常识性的东西，但却并没有多少公司公开谈论雇佣黑客的事情。毕竟讨论安全协定可以看作是有风险的。
所以2014年4月，当英国央行(Bank of England)宣布雇佣黑客来帮助其对二十多个主要银行进行防御测试时，立刻引起了轩然大波。然而，此举还是得到了网络安全专业人士的认可。有人认为，英国走在了网络保护的前沿，能够对消费者、企业和经济起到正面的影响作用。
No.5：爱德华·斯诺登警示社交媒体监听
2014年，通过一名叫做爱德华·斯诺登的人持续不断地向世人首次揭露美国国家安全局、英国国家通信总局(GCHQ)以及其他政府的监听计划，表明需要关注监听的不仅仅是那些大企业。
在政府持续成为曝光主要焦点的同时，斯诺登又爆出了使用云服务、搜索引擎和社交媒体的有关风险，暗示谷歌和脸谱都与政府勾结进行监听和提供“危险”服务。2014年7月，斯诺登又指责Dropbox公司“对隐私怀有敌意”，并是美国政府棱镜窥探计划的走狗。
由人民出版社出版的《美国是如何监视中国的-美国全球监听行动纪录》中披露，中国国内网络安全权威技术部门检测发现，美国思科公司的路由器存在严重的预置式“后门”。受到美国国安局信息监视项目-"棱镜"监控的主要有10类信息：电邮、即时消息、视频、照片、存储数据、语音聊天、文件传输、视频会议、登录时间和社交网络资料的细节。通过棱镜项目，国安局甚至可以实时监控一个人正在进行的网络搜索内容。
No.6：美国通过互联网监听从事工业间谍活动
美国国家安全局监听计划的揭露给2014年的整个IT界和各国政府都蒙上了一层阴影。可以说，2014年1月爱德华·斯诺登声称的以民主堡垒自居的美国通过互联网监听从事工业间谍活动是最令人不寒而栗的事件之一。
斯诺登称，美国的工业间谍活动所针对的不仅仅只是限于“国家安全问题”，而且还包括任何可能对美国有价值的工程和技术资料。他以德国工业巨头西门子为例说:“如果西门子的信息符合美国的国家利益，即使这些信息与美国的国家安全没有半毛钱关系，他们照样还是会拿取这些信息。”
和今年的其他安全事件一样，斯诺登的言论毫无疑问地引起了很多关于将敏感信息存储在云端是否符合其背后逻辑的质疑。
No.7：摩根大通受攻击波及多数美国人
网络对摩根大通的攻击最早发生在2014年8月，导致联邦调查局开始调查俄罗斯政府与摩根大通被攻击之间的关联。然而，不管是谁发起的攻击，事件造成了7600万个人账户和700万小企业账户的户名、地址、电话和电子邮件被泄露的严重后果。
人们一般认为，被攻破的都是些安全措施薄弱的公司，然而众所周知的是，摩根大通在安全保护领域有着非常完善的安全规划并不惜投入巨资。摩根大通事件以惨痛的教训向世界做出警示，没有人是绝对安全的。
No.8：“攻击世界杯行动”
四年一度的世界杯可谓让巴西的黄绿色染遍了全球，但并非所有人都高兴。2014年6月，一个名为“Anonymous巴西”的黑客组织，制定了一个名为“攻击世界杯行动”的计划，进行了大量拒绝服务攻击，导致世界杯相关网站无法正常使用。该组织也是全球松散的黑客组织“Anonymous”的一部分。
在推特发布的一条信息中，上述黑客组织宣布，自从巴西世界杯开幕以来，他们已经实施了一百多次网络攻击，被攻击的网站对象隶属于巴西情报机构、世界杯赞助商现代公司巴西分公司，巴西足球协会，巴西司法部，圣保罗军事警察机构，巴西银行，以及Africa.com.br网站。本次攻击行动的主要目的是对巴西的贫困现象、腐败和警方暴力表示抗议。
No.9：苹果iCloud安全漏洞泄漏名人裸照
苹果公司一向以其自身设备和服务的安全而自豪，但2014年8月，随着其iCloud服务被攻破，许多的名人信息被泄露，这个iPhone和iPad制造商也被狠狠地打了脸。事件造成数百张家喻户晓的名人私密照片被盗，其中包括主演影片《饥饿游戏》(The Hunger Games)的明星詹妮弗·劳伦斯(Jennifer Lawrence)的裸照，苹果公司只好加紧解决其iCloud服务的安全问题。
在这么多的企业和个人越来越愿意相信云服务的背景下，该事件向我们敲响了警钟，那就是在云服务上存储敏感文件可能并不像我们想象的那样安全。将敏感资料放在云端，就要对这样的潜在后果有所警醒。很多人可能还不知道，智能手机通常都会自动备份文件到云服务器。今天的设备都非常热衷于将数据推送至各自的云服务器上，人们应该小心敏感资料不会自动上传到网上或者其他配对的设备上。
No.10：索尼影业被黑
2014年11月份，索尼影视娱乐受到黑客攻击，导致公司系统被迫关闭。这是安全声誉欠佳的索尼继一连串针对其PlayStation(PS)网络的攻击后，受到的又一次打击。攻击造成从包括个人信息和名人电子邮件在内的员工详细信息到未发布的影片都被公之于众。
美国联邦调查局声称背后黑手是朝鲜，总统奥巴马也二次发声要打击网络攻击行为。朝鲜当局呼吁成立朝美联合调查组，并威胁如果未遂其愿的话可能导致“严重后果”。此事已经上升到国家政治层面。
3、2014互联网网络漏洞简析
根据中国国家信息安全漏洞库统计，2014年全年互联网新增各类网络漏洞9118个，其中第一季度新增安全漏洞2018个;第二季度安全漏洞1910个;第三季度安全漏洞2537个;第四季度安全漏洞2653个。
从漏洞严重程度来看，高危漏洞占全年漏洞总数的比例为26.03%(2373);中危漏洞占全年漏洞总数的比例为65.92%(6011);低危漏洞占全年漏洞总数的比例为8.05%(734)。
No.1：漏洞频发：关注最常被反复利用的漏洞
2014年，不论是安全研究人员、白帽子还是攻击者大都集中在证明通过他们的努力“研究”，让常见的可以被反复利用的漏洞或“薄弱环节”，成为击溃我们“脆弱的互联网”有力武器。每当互联网发布一份新的漏洞报告时，受影响的厂商、安全从业人员和媒体往往更关注零天漏洞，此类重大新闻似乎更迫切地需要他们作出反应。然而，我们更应优先考虑的，是投入时间和资金，修补网络攻击者最常利用的那一小部分漏洞。其他漏洞可以通过更常规的流程进行管理。
如在心脏流血漏洞首次被公诸于众的时候，信息安全专家曾表示，全球约有61.5268万台服务器存在心脏流血漏洞。一个月后，发现只有31.8239万台服务器存在这种漏洞，这就是说已有一半的服务器修复了这个漏洞。但是，信息安全专家在2014年6月份公布的研究结果仍然令人感到担忧，它显示至今仍有30.9197万台服务器存在这个漏洞。自从心脏流血漏洞公布以来，OpenSSL 项目已报告了在 OpenSSL 软件中发现的其他几个缺陷，其中一些缺陷“可能允许攻击者创建拒绝服务条件或(在某些情况下)远程代码执行。”其中一些缺陷长期被人们忽视：例如，一位日本安全研究人员发现的 CCS 注入漏洞在OpenSSL 软件中存在时间长达16 年，该安全漏洞允许攻击者截获并解密在互联网中传输的加密数据。
根据统计，2014年全年互联网新增各类网络漏洞中，由常见且被反复利用的漏洞所引发的威胁中，未授权的信息泄露占比例52.64%，管理员访问权限获取占比20.23%。
No.2：OpenSSL爆“心脏出血”漏洞
2014年4月8日，来自Codenomicon和谷歌安全部门的研究人员，发现OpenSSL的源代码中存在一个漏洞，可以让攻击者获得服务器上64K内存中的数据内容。该漏洞在国内被译为“OpenSSL心脏出血漏洞”，因其破坏性之大和影响的范围之广，堪称网络安全里程碑事件。
密歇根大学的一个安全研究团队利用开源网络扫描工具ZMap搜索存在Heartbleed漏洞的网站。研究人员完整扫描了地址空间，截至2014年4月10日2:00 PM，Alexa排名前百万的网站中有32%支持SSL，在支持HTTPS的网站中，9%存在漏洞，31.9%安全的支持OpenSSL TLS Heartbeat Extension， 59%不支持HeartbeatExtension(不存在心脏出血漏洞)，也就是在漏洞爆发的时候全球前一百万的网站中，有40.9%的网站中招。全球第一个被攻击通告的案例加拿大税务局确认Heartbleed导致了900个纳税人的社会保障号被盗，这900个纳税人的社保号被攻击者在系统中完全删除了。
No.3：Linux“Bash”破壳漏洞大爆发
2014年9月25日，国外安全专家发现Linux系统中一个频繁使用的片段“Bash”存在漏洞，影响目前主流的Linux系统。利用该漏洞，黑客可以远程窃取服务器上的信息，并进一步控制服务器。
“Bash”漏洞(Shellshock)是继今年四月的“心脏流血”漏洞之后，业界发现的首个重大互联网威胁。由于后者所影响的OpenSSL加密软件被用在全球大约三分之二的网络服务器中，因此影响范围十分广泛。
最新的这项漏洞的威胁程度之所以堪比“心脏流血”，一定程度上是因为Shellshock所影响的Bash软件，同样被广泛应用与各类网络服务器以及其他电脑设备。
但安全专家表示，由于并非所有运行Bash的电脑都存在漏洞，所以受影响的系统数量或许不及“心脏流血”。不过，Shellshock本身的破坏力却更大，因为黑客可以借此完全控制被感染的机器，不仅能破坏数据，甚至会关闭网络，或对网站发起攻击。
与之相比，“心脏流血”漏洞只会导致数据泄漏。
No.4：Struts2漏洞频出 祸根是Apache底层代码不严谨
Apache Struts2的远程代码执行漏洞风暴影响刚刚散去，2014年4月23日晚，国外安全人员研究发现Apache公司提供的升级版本并未完全修复漏洞，Apache Struts2在处理CVE-2014-0094的漏洞补丁中存在缺陷，会被轻易绕过，可导致任意命令执行。Struts2上次远程代码执行漏洞，是由于黑客通过ParametersInterceptor接口可以操控服务器运行环境中的一些对象，因此补丁中禁用了此接口，但是由于防护规则不完善，导致安全机制仍可被攻击者绕过。建设银行、工商银行、中国银行、淘宝、京东、中国移动官网等都采用Struts2框架，此漏洞对上述网站服务器构成了拒绝服务和远程控制的威胁。
攻击者利用此漏洞，可以远程对目标服务器执行任意系统命令，轻则可窃取网站数据信息，重则可取得网站服务器控制权，从而造成信息泄露并给网站运行带来严重的安全威胁。特别是政府、公安、交通、金融和运营商等尤其需要重视该漏洞，这些单位和机构的敏感信息泄漏有可能对国家造成沉重的打击，甚至会违反相关的法律规定。在最近几年APT攻击横行的时期，黑客早已不再以挂黑页炫耀为目的，攻击者可能通过该漏洞作为突破口渗透进入其内部网络并长期蛰伏，不断收集各种信息，直到收集到重要情报。
4、2014互联网网站安全简析
2011年12月21日，国内最大的开发者社区CSDN数据库被黑客攻击，以致600万用户资料外泄，由此拉开了我国互联网史上最大规模信息泄露事件序幕。2014年网站泄密事件依然不断升级、不断发生，每天都有新的大型知名网站的用户信息外泄，据不完全统计已有超过上亿互联网用户资料泄露，绝大部分信息均为有效数据。网站泄密事故发生主要原因在于网站存在漏洞，从而遭到黑客入侵“拖库”。这些网站设计时是允许任何人、从任何地方登陆进入访问，因而也成为了通往隐藏在深处的重要数据的桥梁。通过安恒信息风暴中心网站安全监测平台的统计，目前国内存在高危漏洞的网站约占 35 %，中危漏洞的网站约占 45%，低危漏洞的网站约占 62%，而相对比较安全的网站只有 23%。
目前国内网站存在最多的高危风险的漏洞包括了sql注入、跨站脚本攻击、网站弱口令等漏洞;中危风险的漏洞是备份文件、目录遍历漏洞;低危风险的漏洞是trace等漏洞。
攻击者在实际操作中往往会先开始寻找目标网站的薄弱环节，如开源的代码、废弃的旧网站、开发人员的错误、盲目信任的用户。攻击者都在竭力寻找这些薄弱环节，并最大限度地加以利用。通常攻击者不用花费多少时间和精力就能找到这些薄弱环节，并利用多个不同类型的漏洞对网站进行攻击，包括运用社会工程学手段、目录遍历、网站弱口令破解等方式，达到其入侵和渗透目的。
(1)、电子政务：网站安全任重道远
根据安恒信息在2014年电子政务网站安全随机检查中，对国家部委、中央企业以及10个省市的重点政府网站进行安全检查工作，检查网站总数为5023个，发现675个网站存在安全漏洞，占被抽查网站总数的11.10%，存在高危漏洞的网站有366个，占3.12%;中危漏洞的网站有2572个，占21.95%;低危漏洞数量有8778个，占74.92%。如下图所示：
▲全国政府网站安全抽查网站安全状况
▲全国政府网站安全抽查漏洞等级分布情况
(2)、网站篡改：仍以网络暗链为主要攻击手段
在众多的网络攻击方式中，网页篡改是比较浅层的攻击手段，而我国相对滞后的网站建设却使之成为攻击网站的主要技术手段之一。
依照攻击方式，网页篡改可以分成显式篡改和隐式篡改。通过显式网页篡改，黑客可炫耀自己的技术和技巧，或达到声明自己主张的目的;隐式篡改则一般是在被攻击网站的网页中植入暗链，这些暗链往往被链接到xxx、诈骗等非法信息，可帮助黑客谋取非法经济利益。为了篡改网页，黑客一般需提前知晓网站的漏洞，提前在网页中植入后门，并最终获取网站的控制权。
2014年，网络暗链在安恒信息风暴中心互联网大数据监控平台的网页篡改中居于领先位置。所谓暗链攻击，是指黑客通过隐形篡改技术在被攻击网站的网页植入暗链，这些暗链往往被非法链接到xxx、诈骗、甚至反动信息。
2014年，安恒信息风暴中心网站安全监测平台发现国内被篡改的网页数量为134346个。国内被篡改网页的月度统计情况如下图所示，统计包含网站被植入暗链的情况：
2014年我国境内被植入暗链网站按地域类型前十位分布情况如下图示，篡改页面总量达到99017个，其中北京、广州、江苏三省市被篡改页面居全国前三。
(3)、网站漏洞：SQL注入仍是网站安全头号威胁
为了篡改网页植入暗链盗取数据，黑客一般需提前知晓网站的漏洞，提前在网页中植入后门，并最终获取网站的控制权。作为现在互联网Web应用系统最经常被利用且影响最严重的漏洞，SQL注入漏洞和XSS跨站脚本漏洞仍然是年互联网安全威胁的重要攻击方式，WebDev和Strurs2漏洞威胁依然存在于较多的政府网站与商业网站。
2014年我国境内被SQL注入漏洞攻击网站按地域类型分布排名前十位的省份如下图所示。
2014年我国境内被XSS跨站脚本漏洞攻击网站按地域类型分布排名前十位的省份如下图所示。
2014年我国境内被WebDev漏洞攻击网站按地域类型分布排名前十位的省份如下图所示。
2014年我国境内被WebDev漏洞攻击网站按地域类型分布排名前十位的省份如下图所示。
二、安全形势分析
1、网络空间安全威胁阶段和当前形势
随着互联网和信息技术的发展趋势，存在信息网络当中的“安全”成为关乎国家安全的重要问题，国际上信息科技发达国家进入了网络空间的战略集中部署阶段，网络安全的边界概念被模糊化，各种安全威胁不断被放大和演变，网络的安全形势日益复杂严峻。
?各国加速网络安全战略部署
美国从90年代后期开始注重关键基础设施来自网络空间的威胁，并先后制定出成熟的国家网络空间安全战略，主要战略性文件包括《网络空间安全国家战略》、《网络空间国际战略》和《网络空间行动战略》。
在美国的示范效应作用下，先后有50多个国家制定并公布了国家安全战略。欧盟委员会在2014年2月公报中强调网络空间治理中的政府作用;习近平在巴西会议上第一次提出信息主权，明确“信息主权不容侵犯”的互联网信息安全观。日美第二次网络安全综合对话结束，两国在网络防御领域的合作将进一步强化;中日韩建立网络安全事务磋商机制并举行了第一次会议，探讨共同打击网络犯罪和网络恐怖主义，在互联网应急响应方面的建立合作。
?网络安全威胁隐患不容忽视
木马病毒、钓鱼诈骗、僵尸网络、分布式拒绝攻击(DDOS攻击)、高级持续威胁攻击(APT攻击)等成为当今网络主流的攻击方式，并呈现愈演愈烈的趋势。云端恶意代码样本已从2005年的40万种增长至目前的60亿种，全球恶意代码样本数目正以每天可获取300万个的速度增长，继“震网”和“棱镜门”事件之后，网络基础设施又遇全球性高危漏洞侵扰，“心脏出血”漏洞威胁我国境内约3.3万网站服务器，Bash漏洞影响范围遍及全球约5亿台服务器及其他网络设备，基础通信网络和金融、工控等重要信息系统安全面临严峻挑战。
?解析Blackhat 2014峰会，展望未来安全趋势
Blackhat 2014峰会解密了无线、物联网、移动终端、操作系统、大数据等十大领域的安全漏洞，顶级黑客在演示活动中施展破解大法，也凸显现实世界安全风险之大。比如，号称最安全的安卓智能手机在5分钟内就被破解;澳洲黑客无需任何硬件;仅利用无线技术就在短时间内破解汽车系统。还有专家在会上指出，全球有超过20亿个移动设备安装了含有漏洞的远端管理程序，而黑客能借此获得权限，在移动设备上安装恶意程序或存取机密信息。
黑客技术不断创新，针对受众的攻击面迅速扩大，攻击技术更加智能、隐蔽，信息安全议题的受关注程度前所未有，可以说--安全隐患无处不在!
随着互联网和移动互联技术在全球迅速普及，人们工作生活的方方面面被“一网打尽”，但网络环境日趋复杂，面对高速增长的数据信息量、移动应用端的普及，以及病毒和黑客不断变化的入侵方式，预计未来的信息安全重点将聚集在云安全、物联网、移动终端、数据存储安全方面。
2、我国网络空间安全现状
我国信息网络蓬勃发展，互联网络规模不断扩大，应用水平不断提高，网络应用形势呈现多样化，成为推动社会进步和经济发展的巨大动力。伴随着信息网络快速增长的步伐，也出现了不少迫切需要解决的问题，尤其是当前网络立法系统性不强、及时性不够和立法规格不高，物联网、云计算、大数据等新技术新应用、数据和用户信息泄露等的网络安全问题日益突出。
CNCERT监测数据和通信行业报送信息，我国互联网仍然存在较多网络攻击和安全威胁，不仅影响广大网民利益，妨碍行业健康发展，甚至对社会经济和国家安全造成威胁和挑战。
?政府网站成为信息安全威胁的重灾区
地方政府网站是黑客攻击的“重灾区”， 2014年我国境内被篡改和被植入后门的政府网站中，超过90%是省市级以下的地方政府网站。我国政府网站频繁遭受黑客组织攻击。
?网络设备成黑客入侵后门
国家互联网应急安全中心指出部分路由器厂商的产品留有“后门”，这些“后门”一旦被黑客利用，用户的信息和财产安全将受到威胁。本来这些“后门”是在路由器出厂时为了以后厂家调试和检测使用，而黑客一旦发现并侵入该“后门”后，可以直接对路由器进行远程控制，劫持用户路由器。越来越多与人们生活密切相关的信息汇聚到网络，存在严重泄露风险，可能给传统社会的信任机制带来挑战。
?有组织攻击频发，我国面临大量境外攻击威胁
国家级有组织网络攻击频发，我国部分重要网络信息系统遭受渗透入侵， CNCERT 监测发现境内 1.5 万台主机被 APT 木马控制。境内1090多万台主机被境外控制服务器控制，主要分布在美国、韩国和中国香港，其中美国占 30.2%，控制主机数量占被境外控制主机总数的 41.1%。
?移动互联网环境有所恶化
仅2014上半年，新增移动互联网恶意程序就超过36.7万，移动恶意程序99%以上针对安卓平台，恶意扣费类程序占到62%以上，超过300家应用商店存在移动恶意程序。手机应用商店、论坛、下载站点、经销商等生态系统上游环节污染，下游用户感染速度加快。
3、移动互联网的安全现状
据中国互联网络信息中心(CNNIC)的第34次互联网报告显示，截至2014年6月，我国手机网民规模达5.27亿，较2013年底增加2699万人，网民中使用手机上网的人群占比进一步提升，由2013年的81.0%提升至83.4%，手机网民规模首次超越传统PC网民规模。移动上网设备以其快捷、方便的特点成为了人们生活中不可或缺的一部分。移动应用App取代浏览器成为人们上网的最主要入口;2014年，中国移动互联网用户平均每天启动App的时长达116分钟，接近2小时，移动互联网用户的App使用呈现高集中度，经常使用1-5个的App占比最大，接近一半。但移动设备的安全问题也越来越成为关注的焦点。2014年中国计算机网络安全年会发布的《2013中国移动互联网环境治理报告》显示：2013年，中国移动互联网网络安全状况整体评价等级为“危”，是五级网络安全状况中的最危险级别!随着App的快速增加，恶意程序也呈井喷式增长。2013年，我国境内感染移动互联网恶意程序的用户数量超过609万。
2014年，国家互联网应急中心在2014中国互联网大会上发布了《2014年上半年移动互联网环境治理报告》中发布的新数据，更是引起了人们的注意：新增移动互联网恶意程序超过36.7万，移动恶意程序99%以上针对安卓平台，恶意扣费类程序占到62%以上，超过300家应用商店存在移动恶意程序……
钓鱼、病毒植入、非法窃取信息、盗版、篡改版，涉嫌采集用户包括联系人、通话记录、手机位置、手机识别码等隐私信息的产品，可以说充斥着整个市场。恶意应用大量泛滥，到2014年底恶意App数量将突破300万;手机应用商店、论坛、下载站点是传播移动互联网恶意程序的主要来源。
综上所述，为净化移动互联网的应用环境，构建移动应用(APP)自身的立体防护体系，将是移动互联网网络信息安全的源头和重中之重。
三、2014网络安全热点问题
1、威胁由网络层转向应用层
如今，许多行业用户将大量有价值的客户数据存储于在线数据库，通过网络应用与外界交互。不论是电子政务、通信、金融、电子商务抑或是小小的个人博客，基于Web和数据库的应用系统已经逐渐成为主流。在我们享受这些信息系统带来便利的同时，也必须正视其带来的安全和威胁:
(1)随着Web应用系统不断地建设及陆续投入运行，这些Web应用程序所带来的安全漏洞越来越多;
(2)使用者安全意识的培养跟不上Web应用的普及速度，加上Web应用本身的粗放式特点，使攻击成为了简单的事情;
(3)目前基于Web的各种应用直接承载有各类虚拟资产，而这类虚拟资产可以方便的转换为现实经济价值。很显然，此类应用系统将会成为以经济利益为驱动的攻击首选;
(4)随着技术的不断提高，攻击工具日益专业化、易用化、攻击方法也越来越复杂、隐蔽，防护难度较大、导致各类攻击者活动越来越猖獗;
然而与之形成鲜明对比的却是：原有安全解决方案无一例外的把重点放在网络层，致使当应用层攻击(如：SQL注入攻击、跨站脚本攻击、恶意代码等等)发生时，传统的网络层安全设备，如防火墙、IDS/IPS等形同虚设，根本无能为力。根据Gartner的报告，目前网络中常见的攻击已经由传统的系统漏洞攻击逐渐发展演变为对应用自身弱点的攻击，其中最常见的攻击技术就是针对Web应用的SQL注入和钓鱼攻击。据安恒信息风暴中心的统计显示，国内网站安全性令人担忧:65.5%的网站存在安全漏洞,其中,29.2%的网站存在高危安全漏洞;8.7%的网站遭到篡改,33.7%的网站被植入了后门。平均每天有 3500 多家网站遭到 35 万次的各类漏洞攻击;每天有超过 600 余家网站遭到 1180 多万次的流量攻击。政府网站是漏洞攻击的首要目标,而企业网站则是流量攻击的首要目标。跨站脚本漏洞和 SQL 注入漏洞这两类高危安全漏洞仍然是占比最高的网站安全漏洞, 二者之和超过网站所有漏洞检出总次数的一半。
2、网络攻击趋势变化
当前攻击者也由过去的单兵作战，无目的的攻击转为有目的、有针对性的攻击，并且形成一整套以攻击者为中心的“传、攻、销”的经济产业链。境外情报机构、企业公司和犯罪团伙都愿意付钱买下有关安全漏洞——以及如何加以利用——的信息。各种信息网络犯罪每天充斥在我们生活当中，信息网络犯罪已经达到了一个前所未有的高度，违法犯罪类型和形式趋于多样化、隐蔽化、复杂化。那么如今的信息网络犯罪攻击技术已经达到什么样的程度了呢?
(1)Web应用安全与数据泄漏
从2014年春运第一天12306爆用户信息泄露漏洞，年中最严重的是泄露了130万考研信息，到年底12月25日12306用户数据遭泄露，账号密码身份证信息被售卖。不论是通过不安全的第三方平台还是继续遭受2012年年底的“泄密门”时间持续影响，过去的2014年都是数据泄密的高发持续增长期，使用失窃账户密码依然是非法获取信息的最主要途径，而这里面三分之二的数据泄露都与漏洞或失窃密码有关。
攻击者的目标明确、趋利化特点明显，针对不同Web应用网站所采用的攻击手段不同，攻击者入侵一个目标站点的时候，首先会看该站点是否存在利益价值。目前攻击者的商业攻击主要针对在线购物网站、社交网站、网络游戏、大型论坛、慈善机构、电子政务、金融证券网站等网站。比如攻击者可以通过入侵缺乏防护措施的政府网站挂“黑链”，因为政府网站在搜索引擎中占据的权重较高，攻击者可以通过植入脚本木马进行网页篡改，将自己指定的网站或代码插入到政府网站的正常页面中，从而提供其在搜索引擎中的排名靠前并盈利。
现在的大型网站一般都使用第三方开发公司的商业网站管理内容系统，虽然一般情况下这些商业网站每年也会聘请安全服务机构进行安全风险评估，部署大量安全产品，但是狡猾的攻击者会绕道先攻击网站的开发商，获取到商业网站管理系统的源码，然后进行分析挖掘漏洞，再转回头攻击之前的目标商业网站。同时攻击者会利用挖掘到的商业漏洞攻击其他商业网站或者出售该漏洞。
攻击者们通过入侵各个站点，把这些站点的用户数据库整体下载下来，这个叫做“拖库”;然后再把这些数据库里的个人信息拿来进行网络诈骗或者层层出售，这个叫做“洗库”;最后攻击者们通过某些渠道相互共享出来，找到各自用户信息的共同点和关联之处，取得完整用户的完整个人信息，再用这些信息进一步去尝试其他攻击目标网站或者个人，这个叫做“撞库”，最后偷取用户游戏账号、银行账号、证券交易账号、密码等，窃取用户的私有财产。
(2)0day攻击
根据路透社的报告，在一个蓬勃发展的由攻击者和安全公司开发和销售入侵工具的灰色市场，美国政府是“0day”漏洞最大的买家。路透社称，“私营公司雇佣了专业技术人员和开发人员来发现漏洞，开发利用漏洞的代码，之后拿到市场上去卖。这些0day漏洞起价5万美金。影响漏洞价格的因素包括漏洞所利用的商业系统的装机量以及漏洞能在多长时间内不被公开。
挖掘软件漏洞，在网络安全中是一个古老的技艺，世界上第一个蠕虫病毒“莫里斯蠕虫”就是病毒制造者莫里斯通过挖到的UNIX漏洞进行传播的。现在越来越多的破解者和攻击者们，已经把目光从率先发布漏洞信息的荣誉感转变到利用这些漏洞而得到的经济利益上，互联网到处充斥着数以万计的充满入侵激情的脚本小子，更不用说那些以窃取信息为职业的商业间谍和情报人员了。于是，0day有了市场。
国外很早就有了0day的网上交易，攻击者们通过网上报价出售手中未公开的漏洞信息，几年前，攻击者通常会将漏洞信息出售给微软和苹果等公司，然后由它们去修复。由于政府机构愿意付出更高的价格购买0day漏洞，迫使微软提高价格至最高15万美元。有两位意大利攻击者，他们将找到的0day漏洞细节出售给美国政府的安全机构如NSA及其对手伊朗革命卫队。
同时，攻击者也会利用白帽攻击者和专业安全研究人员分享的研究成果，并通过分析的代码或者测试程序改制成恶意软件。
当今的互联网，病毒、蠕虫、僵尸网络、间谍软件、DDoS犹如洪水般泛滥，所有的这一切都或多或少地从0day走过，但不管怎样，0day带来的潜在经济利益不可抹杀，而其将来对信息安全的影响以及危害也绝不能轻视。
(3)网络攻击工具逐渐齐全
Metasploit是一个免费的、可下载的框架，通过它可以很容易地获取、开发并对计算机软件漏洞实施攻击。它本身附带数百个已知软件漏洞的专业级漏洞攻击工具。当H.D. Moore在发布Metasploit时，它的发布在安全界引发了强烈的地震，甚至有人把它形容成“可以黑掉整个星球”。仿佛一夜之间，任何人都可以成为攻击者，每个人都可以使用攻击工具来攻击那些未打过补丁或者刚刚打过补丁的漏洞。软件厂商再也不能推迟发布针对已公布漏洞的补丁了，这是因为Metasploit团队一直都在努力开发各种攻击工具，并将它们贡献给所有Metasploit用户。
经验丰富的攻击者一般都喜欢使用一些网络攻击工具来提升自己的攻击效率，而这些工具的使用，只需要非常少的技术，另外，开发人员通常将这些工具做为合法的渗透测试工具在攻击者论坛或他们的网站上免费提供。通过最近几年网络安全技术的快速发展，网络攻击工具也有了新的发展趋势。
比如现在攻击工具的自动化水平不断提高。以前，安全漏洞只在广泛的扫描完成后才被加以利用。而现在攻击工具利用这些安全漏洞作为扫描活动的一部分，从而加快了攻击的传播速度。在2000年之前，攻击工具需要人来发动新一轮攻击。现在，攻击工具可以自己发动新一轮攻击，比如震网病毒主要利用Windows系统漏洞实施攻击和传播，具有极强的复制能力和明确的攻击目标，一旦成功感染系统就会自动传播给其他与之相连的电脑，最后造成大量网络流量的连锁效应，导致整个网络系统瘫痪。
攻击工具开发者正在利用更先进的技术武装攻击工具。与以前相比，攻击工具的特征更难发现，更难利用特征进行检测。
攻击工具具有三个特点：反侦破，攻击者采用隐蔽攻击工具特性的技术，这使安全专家分析新攻击工具和了解新攻击行为所耗费的时间增多;动态行为，早期的攻击工具是以单一确定的顺序执行攻击步骤，今天的自动攻击工具可以根据随机选择、预先定义的决策路径或通过入侵者直接管理，来变化它们的模式和行为;攻击工具的成熟性，与早期的攻击工具不同，目前攻击工具可以通过升级或更换工具的一部分迅速变化，发动迅速变化的攻击，且在每一次攻击中会出现多种不同形态的攻击工具。此外，攻击工具越来越普遍地被开发为可在多种操作系统平台上执行。
(4)APT攻击
高级持续性威胁(Advanced Persistent Threat，APT)，威胁着企业的数据安全。APT是攻击者以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划和有组织地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。
APT入侵客户的途径多种多样，主要包括以下几个方面。
——以智能手机、平板电脑和USB等移动设备为目标和攻击对象继而入侵企业信息系统的方式。
——社会工程学的恶意邮件是许多APT攻击成功的关键因素之一，随着社会工程学攻击手法的日益成熟，邮件几乎真假难辨。从一些受到APT攻击的大型企业可以发现，这些企业受到威胁的关键因素都与普通员工遭遇社交工程的恶意邮件有关。攻击者刚一开始，就是针对某些特定员工发送钓鱼邮件，以此作为使用APT手法进行攻击的源头。
——利用防火墙、服务器等系统漏洞继而获取访问企业网络的有效凭证信息是使用APT攻击的另一重要手段。
总之，高级持续性威胁(APT)正在通过一切方式，绕过基于代码的传统安全方案(如防病毒软件、防火墙、IPS等)，并更长时间地潜伏在系统中，让传统防御体系难以侦测。
(5)移动互联网安全
为什么很多单位开会的时候不允许带手机?因为手机有可能变成窃听器。如果你手里拿着的是一部已经感染了恶意代码的智能手机，那么你接听和拨打的所有电话，都将被恶意代码控制者掌控，而作为普通手机用户的你，完全看不出任何端倪。
如今，人们的信息交流开始越来越多地由PC转向手机，然而，随着移动互联网的快速发展，固定互联网上原有的恶意程序传播、远程控制、网络攻击、垃圾邮件等网络安全威胁也快速地向移动互联网蔓延。这些恶意程序往往在用户不知情的情况下窃取用户个人信息，诱骗用户上当受骗，造成用户的经济损失。移动互联网已经被各种病毒、木马、恶意代码等攻击行为全面侵袭——手机上的木马可以控制调取通讯录、短信，可以对通话进行录音，然后把录音传到控制端去，还可以伪造朋友给机主发短信，或者伪造机主身份给朋友发短信……
因此，对移动互联网恶意程序进行有效的防范和控制，不断提高移动智能终端的安全能力，关系到我国移动互联网的健康发展和对广大移动互联网终端用户合法权益的保护。
(6)智慧城市面临的新型信息安全威胁
智慧城市是一项甚为复杂的大型系统工程，随着三网融合、两化融合的深入推进，物联网、云计算、大数据等高新技术的应用与发展，所面临的网络环境更加复杂，因此其信息与网络乃至应用终端的安全问题均比一般互联网的信息安全问题要多。
我国的“智慧城市”建设进入高峰期，智慧城市的信息系统特点是一把双刃剑，在给人们带来智慧城市的美好前景的同时，也带来了新的信息安全的威胁。
主要的威胁包括(但不限于)：
1. 恶意的网络攻击：
美国好莱坞电影《虎胆龙威4：虚拟危机》中，描述了一个恐怖分子利用网络攻击达到让一个国家陷入“全面性瓦解”的景象，而智慧城市所提倡的全面物联、透彻感知、深入的智能化，以及在任何时间、任何地点、利用任何设备登录网络，非常方便的利用云计算能力获得等特点，让恶意人员实施网络攻击变得异常简便，甚至可以让电影情节中的“全面性瓦解”有可能真正地发生。试想一下，恐怖分子如果要攻陷表面固若金汤的大国的最后防线，与其劫持飞机再续911事件，不如逮住建立于二进制系统之上的国家安全漏洞，只要一个有缺陷的程序，就可能掌握物联网应用的控制系统，实施对目标地域的水、电、油、气、交通进行完全掌控，瘫痪任意系统、控制经济命脉，再制造点导弹齐飞核弹解禁之类的威胁，该是一种多么恐怖的景象。
2. 城市管理信息泄密：
智慧城市应用大部分是在公网上运行，采集并保存着城市运行和管理的海量数据，这些海量数据通过大数据分析软件的分析，为城市管理人员提供了这个城市的各种重要信息，其中一些信息具备非常高的信息价值，应该对这些信息进行很高密级的保护。然而，由于这些信息设备往往无人值守，恶意人员可能偷盗传感器件获得其存储密码和感知数据，通过多位置放置被控节点副本及发射无线干扰信号，进行物理层面攻击使网络瘫痪，还可能利用公开的智慧城市应用和方便的云计算资源，实施大数据计算，从而获取到这些机密信息，这种情况轻则会造成商业的被动和损失，重则可能会造成社会和国家安全上的威胁。
3. 个人信息的泄密：
在智慧城市建设中，所谓的“大数据”，核心就是个人信息。智慧城市的建设使得城市生活的方方面面互联化了，造成了市民的个人信息在大量的网络应用上发布、原本在物理世界的生活却在网络上全面的留下足迹、个人和家庭的设施和物品通过物联网也暴露在互联网上。凡此种种，都是个人信息泄露的威胁，这样的威胁在与普通民众生活息息相关的领域给自身和相关行业造成巨大的困扰和经济损失。目前因为还处在智慧城市建设的初期阶段，对这些威胁还没有得到足够的认识，也没有安全防护的安全实践，甚至于人们普遍缺乏个人信息保护的安全防范意识。
4. 业务连续性和灾难恢复方面的安全威胁：
智慧城市是城市运行和管理的高级信息化应用，这些应用发展到一定的规模后，人们会发现越来越离不开这些应用，到那个时候，如果出现智慧城市应用的运行问题或者遭受到自然的灾害影响时，城市的运行和管理将遭到重大的打击，最终将极大的影响到市民的正常生活。
综上所述，智慧城市建设除了会带来通常的信息安全问题，还可能会带来严重的社会稳定、经济利益甚至于国家安全的威胁，因此必须倍加重视与小心务实应对。
四、2014网络安全APT攻击专题分析
1、警惕利用Bash漏洞的IRC-BOT
(1)、什么是Bash安全漏洞
继2014年4月的“Openssl心脏流血”漏洞之后，另一个重大互联网威胁于2014年9月24日爆发，GNU Bash(Bourne again shell)4.3及之前版本在处理某些构造的环境变量时存在安全漏洞，可能允许攻击者远程执行任意命令，GNU Bash漏洞编号为CVE-2014-6271。
经过研究确认，此漏洞可能会影响到使用ForceCommand功能的OpenSSH sshd、使用mod_cgi或mod_cgid的Apache服务器、DHCP客户端、其他使用bash作为解释器的应用等。而使用mod_php/mod_python/mod_perl的Apache httpd不受此问题影响。
百度百科的介绍显示，Bash(GNU Bourne-Again Shell)是大多数Linux系统以及Mac OS X v10.4默认的shell，它能运行于大多数Unix风格的操作系统之上，甚至被移植到了Microsoft Windows上的Cygwin系统中，以实现Windows的POSIX虚拟接口。此外，它也被DJGPP项目移植到了MS-DOS上。
而Bash的命令语法是Bourne shell命令语法的超集。数量庞大的Bourne shell脚本大多不经修改即可以在Bash中执行，只有那些引用了Bourne特殊变量或使用了Bourne的内置命令的脚本才需要修改。可以说，Bash是类Unix系统的核心，如果Bash出现了漏洞，则说明攻击者可以控制机器一切。
(2)、Bash安全漏洞攻击分析
近期，安恒信息安全研究院也监控到了大量利用Bash安全漏洞进行的攻击，我们主要是对这次的攻击使用的Bash脚本和植入的IRC-BOT进行分析。
Bash脚本分析
我们在明御?APT攻击(网络战)预警平台上发现了攻击者发送的数据包如下:
攻击者会从http://183.14.***.***/ *s0.sh下载sh脚本并运行。
攻击脚本部分截图如下：
这个sh攻击脚本针对了多个平台进行攻击,包括有arm、linux –x86、linux-x64,但是基本的攻击思路差不多。
1.它首先修改用户DNS为8.8.8.8, 然后针对不同平台下载不同恶意程序。
2.当被攻击的平台上是arm架构时,它首先从地址:
下载arm架构下的IRC-bot,并写入自启动。
3.从http://ipkg.nslu2-linux.org/feeds/optware/cs05q3armel/cross/unstable/ipkg-opt_0.99.163-10_arm.ipk 下载ipkg(ipkg是一个软件安装管理工具)
4.使用ipkg安装openssh,并把ssh的端口改为26。攻击代码部分截图如下：
5.当被攻击的平台上是linux-x86时:
它和arm差不多，只不过是从
下载linux-x86架构下的IRC-bot，其他都操作一样 。
6.当被攻击的平台上是linux-x64时:
它依然上面的一样，下载地址变成了：
其他都操作一样。
7.接着新建了一个叫做“request”的用户名，密码未知(暂时未破解)。
在twitter上我们看见有人公开发现是在12月5日。
攻击者为了达到对系统长期的占用，将系统植入木马成为僵尸网络的一部分后，还给有问题的系统打了Bash补丁。
最后还下载了叫做run的bash脚本,脚本内容如下
这个run脚本主要作用是下载叫pnscan的恶意程序，它主要是扫描程序，从调用参数可以看见它是全网段扫描的。
按照Bash漏洞出来的时间可以推测出这个脚本是2014-12-3日编写。
IRC-BOT分析
通过简单的分析我们发现上面提到的恶意软件都是功能相同架构不同的IRC-BOT，它们都使用了upx进行加密
首先脱壳，然后能解密出两个恶意的irc服务器地址
接着被感染的设备会登入到irc服务器上等待接受指令，部分指令截图：
具体含义是：
在分析的过程中我们发现它是某个开源的程序，由于危害性我们就不给出链接了。
(3)、尽快升级Bash
安恒信息研究院提醒用户按照GUN Bash官方指导意见进行升级：
安恒信息服务中心团队在对客户进行技术支持的过程中，发现有对其服务设备通过yum命令对GUN bash升级版本的时候由于yum镜像点没有更新，而且不同的linux发行版本更新命令也不一样，导致升级失败或者升级过程中体验不佳。经安全信息服务中心团队多次测试，建议有相同问题的其他客户通过iptables来对bash漏洞进行阻断，该方法适用于所有linux的发行版本：
两条命令如下：
同时安恒信息研发中心迅速组织经验丰富的开发团队，对明鉴和明御两大系列产品进行策略升级，用户在升级安恒信息的产品后能快速识别或防御该漏洞信息。如网站用户可以升级明鉴WEBSCAN扫描器进行扫描GUN Bash漏洞，升级明御WEB应用防火墙可以防护该漏洞;系统运维人员可以使用明鉴等保检查工具箱中系统漏洞检查工具批量检查Linux服务器是否存在Bash漏洞。
2、警惕Asprox蠕虫爆发
(1)、Asprox僵尸网络凶猛来袭
安恒信息安全研究院在多台部署了明御?APT攻击(网络战)预警平台的设备上发现了Asprox蠕虫，最早发现是2014年9月某科研机构的APT邮件检测系统中发现了该蠕虫的告警消息。
接下来的几个月从在不同的地都收到样本反馈。
该僵尸网络在曾在国外大势传播,近期出现在国内，需要引起高度的重视。安恒信息在此提醒广大用户，在收到类似邮件时，千万不要点击运行附件程序。
(2)、Asprox攻击技术细节分析
1、外部观察
攻击者伪装成航空公司服务人员，发送了一封待处理订单的邮件。
解压缩邮件附件后,可以看见可疑文件使用了和word文档一样的图标，显然它想把自己伪装成word文档，
为了伪装的更隐藏一些，用户双击运行后，它会弹出如下具有欺骗性的告警消息，让人误以为文档损坏。
实际上它早已将恶意代码注入到svchost.exe里面运行。
在我们APT预警平台的抓获的风险日志中也能看见它的恶意行为。
2、内部剖析
为了方便理解，我们先画出了整个攻击流程
▲(整个攻击流程)
该恶意程序DeltaTicket的外壳代码部分包含了大量‘垃圾’代码，在多次异或解密后，它使用函数RtlDecompressBuffer在内存中解压出一个恶意的dll文件。
该dll文件在整个程序的运行过程中并不会释放处理，而是把它注入到新建的svchost进程中，从而实现在内存中动态加载运行。
其关键注入恶意代码的流程如下：
▲(注：大量恶意软件都使用了类似)
接着新建的svhost会拷贝自身到% App Data%目录,即：
%App Data%\jgajbltl.exe(名字是随机的)
并检测自己是否已经写入自启动，如果没，便写入如下路径：
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
接着构造类是于如下的XLM格式的字符串：
id的值是 $MD5(SID+installDate+user name) ,其他的标识是它的版本信息等。
然后使用RSA算法加密该xml格式的数据，RSA加密的公钥是：
将加密的数据发送到之前解密的URL，然后等待从这些服务器发送的指令。
通过分析发现关键指令，其伪代码的如下：
具体指令的含义是：
(3)、Asprox排查方法
1. 检查系统进程中是否有以普通用户启动的scvhost进程。
2. 检查系统检查系统%AppData%目录是否存在未知的可执行文件
注意：
a) Windows 7下%AppData%的路径是：C:\Users\<用户名>\AppData\Roaming
b) Windows XP下%AppData%的路径是：C:\Documents and Settings\<用户名>\Application Data
3. 检查系统注册表
HKCU\Software\Microsoft\Windows\CurrentVersion\Run中是否存在可疑文件名。
标签： cc攻击 ddos dns dns域名 https isp linux ssl ssl tls web服务器 web应用防火墙 安全 大数据 大数据分析 大数据
版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。
上一篇:未来信息安全三大关键词
