2007上半年度 电脑病毒疫情和互联网安全报告(七)
来源：瑞星公司 时间：2007-07-25 10:07:43


三、Web程序安全漏洞愈演愈烈

  由于Web程序员的疏漏，存在SQL注入漏洞的网站是如此之多，这是当前入侵者入侵服务器的主要途径，入侵Web服务器并窃取机密信息，利用控制的Web服务器来“挂马”的行为大都通过SQL注入攻击来进行。

  2007年7月初，一个沙特阿拉伯的少年黑客成功侵入微软英国网站，贴上一幅儿童摇沙特阿拉伯国国旗的照片,把网站上原来的内容覆盖掉。这个黑客入侵利用的就是SQL注入漏洞。显然，不单单是微软，大多数使用数据库的网站都面临这一威胁。

  除了SQL注入漏洞以外，XSS跨站脚本攻击也有愈演愈烈的趋势，由于往年对XSS漏洞不够重视，大量的大型网站存在该问题，利用XSS漏洞进行攻击在结合“社会公程学”手段以及方便的即时通讯软件后产生巨大的危害。

  病毒制造者侵入带有XSS漏洞的大型网站，植入病毒，将网站链接通过IM软件传播,即可导致大量用户上当并感染病毒。由于这些大型网站被多数用户信任，使得用户更有可能受到欺骗，访问这些带毒网站后中毒。

  许多大型网站，包括MySpace、谷歌和雅虎都曾经吃过XSS漏洞的苦头，随着Web2.0的流行，网站上可以插入脚本的地方如此之多，众多初创的Web2.0站点忙于发展，不愿意在安全问题上花费更多的时间，这使那些热门网站成为黑客最容易利用的互联网软肋。