网站安全漏洞形势分析报告Word文档格式.docx
- 文档编号:21992110
- 上传时间:2023-02-02
- 格式:DOCX
- 页数:59
- 大小:54.17KB
网站安全漏洞形势分析报告Word文档格式.docx
《网站安全漏洞形势分析报告Word文档格式.docx》由会员分享,可在线阅读,更多相关《网站安全漏洞形势分析报告Word文档格式.docx(59页珍藏版)》请在冰豆网上搜索。
2016年补天平台收录的漏洞中,备案网站的漏洞有23982个,占比为%,未备案或
备案已过期的网站漏洞有8295个,占比为%。
从网站角度看,备案网站有22929
个,占比为%,未备案或备案已过期的网站占比为%。
2016年补天平台收录的网站漏洞中,通用型漏洞占比为%,相比2015年的(%)
有所下降。
高危漏洞占%,中危漏洞占%,低危漏洞占%。
从漏洞性质看,在备案的网站中,通用型漏洞比例很低,仅为%,绝大多数漏洞(%)
为事件型漏洞。
相比而言,没有备案的网站存在的漏洞中,通用型漏洞比例%,事
件型漏洞比例为%。
从补天平台收录漏洞的具体类型来看,SQL注入漏洞最多,占比为%,其次是命令
执行和弱口令,分别占%和%。
对2016年补天平台的备案网站漏洞的抽样调查显示,平均漏洞修复率仅为%。
根据厂商明确标记已修复的网站漏洞中,1天内修复的比例为%,一周以内修复的比
例为%,一个月内修复的比例为%,超过30天才修复为%。
网站漏洞攻击分析
2016年(截至11月15日),360网站卫士共拦截各类网站漏洞攻击亿次,较2015
年亿次,增长了约%。
截止到2016年11月15日,2016年平均每天拦截漏洞攻击万次。
5、6月和7月
是攻击量最大的三个月。
截至到2016年11月15日,全年遭受到漏洞网站共计万个(全年去重),占360
网站卫士覆盖总量(万)的%。
平均每月有万个网站遭遇各类漏洞攻击,
与2015年平均每月万个相比下降了%。
%受害者IP为境内地区。
其中,%来自北京,居于首位,其次分别为浙江(%)、
四川(%)、广东(%)、江苏(%)等。
%受害者IP为境外地区。
其中,%的受害者来自加拿大,排在第一位,其次是
美国(%)、韩国(%)、罗马利亚(%)、日本(%)等。
2016年遭到漏洞攻击的十大城市,北京遭到攻击的IP最多,高达亿次,居于全国
首位;
其次是成都、上海、南京、郑州、广州、杭州、合肥、深圳和福州。
从发起漏洞攻击IP的地域分布来看,%攻击者IP来自境内地区。
其中,%来自
江苏,居于首位;
其次分别为北京(%)、河南(%)、浙江(%)、上海(%)、
广东(%)等。
%攻击者IP来自境外地区。
其中,%来自俄罗斯,其次是美国(%)、加拿
大(%)等。
2016年发起漏洞攻击最多的十大城市。
从南京发起漏洞攻击的IP最多,高达亿次,
居于全国首位;
其次是北京(亿次)、郑州(亿次)、上海、武汉、杭州、合
肥、天津、福州和南昌。
一周之内漏洞攻击的分布统计,星期四是一周中漏洞攻击最为集中的一天,占总攻击量
中的%,而周六的攻击量则相对最少,仅占总攻击量的%。
一天之内漏洞攻击的分布统计,漏洞攻击多集中于下午15-17点之间,在16点达到最
高峰,而早上5-8点是漏洞攻击比较稀少的时段,凌晨8点最为安全。
网站安全漏洞行业分析
2016年(截止11月15日)补天平台收录的不同备案网站的漏洞总量为23982个(共
涉及22929个网站),其中高危漏洞为10719个。
补天平台收录的备案网站漏洞中,企业网站的漏洞数量是最多的,占比为%,事业
单位网站为%,政府机关网站为%,个人网站为%,社会团体网站为%。
从高危漏洞网站来看,社会团体网站高危漏洞占比最多,为%,企业网站为%,
事业单位网站为%,政府机关网站为%,个人网站为%。
政府机关网站的漏洞修复率是最高的,占比为%,其次事业单位网站为%,企
业网站为%,个人网站为%,社会团体网站为%。
从高危漏洞修复率来看,
政府机关网站同样是修复最高的。
在所有企业、个人备案的网站中,统计显示,IT/互联网行业网站被报告的漏洞最多,
占比为%。
从高危漏洞网站来看,电信运营商网站高危漏洞占比最多,为%,生产制造为%。
游戏类网站排名第三。
电信运营商网站的漏洞修复率是最高的,占比为%;
其次是金融网站为%,汽
车交通网站为%,媒体网站为%。
从高危漏洞修复率来看,金融网站修复率是最高的,占比为%,其次电信运营商网
站%,汽车交通网站%。
白帽子与漏洞奖励
2016年(截止11月15日),共有2362名白帽子向补天平台提交有效漏洞37188个(其
中公有SRC收录32277个,私有SRC收录4911个)。
2362名白帽子获得奖金万元,其中通用型漏洞占比为%,事件型漏洞%。
2016年获补天平台奖金最多的三位白帽子分别是carry_your、system_gov和
hckmaple,三人各自获得的奖金皆超过20万。
从报给补天平台并被收录的漏洞总数来看,挖洞最多的是hckmaple,共贡献1136个漏
洞,平均每天挖洞个,堪称“挖洞”劳模。
2016年(截止到11月15日),共有119名女性白帽子提交漏洞,占比为%,相
比2015年的%,有较大幅度提升。
从获得奖金额度占比方面来看,男性白帽子占据绝对优势,达到%,女性白帽子获
得奖金额度占比仅为%,不过,和2015年(%)相比略有上升。
从白帽子的注册信息来看,在2016年向补天平台提交漏洞的白帽子中,年龄最小的14
岁,年龄最大的66岁。
其中,19岁-24岁之间的白帽子数量最多,约占总数的50%。
从年龄段来看,年轻的“90后”目前仍然是白帽子的绝对主力,占白帽子总量的%,
“80后”次之,占%。
相比2015年“00后”白帽子仅占%,2016年约有%
的白帽子是16岁及以下的青少年,比例和数量都大为提高。
关键词:
网站安全、漏洞、补天、检测
第一章网站扫描漏洞分析............................................................................................................1
一、扫描网站介绍....................................................................................................................1
二、漏洞数量...........................................................................................................................2
三、漏洞类型分析....................................................................................................................4
第二章人工挖掘漏洞分析............................................................................................................5
一、漏洞数量...........................................................................................................................5
二、漏洞类型分析....................................................................................................................6
三、漏洞修复情况....................................................................................................................8
四、漏洞修复率低的原因分析.................................................................................................9
第三章网站漏洞攻击分析..........................................................................................................10
一、漏洞攻击数量统计..........................................................................................................10
二、漏洞攻击类型分析..........................................................................................................11
三、漏洞攻击地域分析..........................................................................................................11
四、漏洞攻击时域分析..........................................................................................................13
第四章网站安全漏洞行业分析...................................................................................................15
一、不同备案网站对比分析...................................................................................................15
二、不同行业网站对比分析...................................................................................................18
第五章白帽子与漏洞奖励..........................................................................................................21
一、白帽子获奖情况..............................................................................................................21
二、白帽子性别与年龄分析...................................................................................................21
三、2016年典型漏洞举例......................................................................................................23
第六章2016年网站安全热点问题..........................................................................................24
一、网站泄漏个人信息成网络诈骗助推器............................................................................24
二、金融行业网站漏洞威胁更加复杂化................................................................................24
三、网站挂马攻击重新兴起...................................................................................................25
四、智能硬件容易遭劫持,安全隐患迭出............................................................................26
第七章2016年网站安全技术前沿趋势..................................................................................27
一、WEB防御进入多维智能协同阶段.....................................................................................27
二、众测/众包模式构建“SRC即服务”机制.......................................................................27
三、开放数据挖掘将成为WEB安全威胁新热点.....................................................................28
4
四、应用感知和持续监测为增强应用安全提供新方向.........................................................29
附录12016年国内外重大网站安全事件.......................................................................................30
附录22016年网站被篡改植入非法网页实例................................................................................35
附录3补天平台介绍.....................................................................................................................44
附录4网站卫士介绍.....................................................................................................................45
附录5网站安全检测平台介绍......................................................................................................46
5
第一章网站扫描漏洞分析
网站漏洞的整体形势可以从两个分析角度:
一是网站安全检测的自动扫描结果统计,
二是网站被报告漏洞情况的统计。
本章将从自动扫描角度,以360网站安全检测与防护相关
产品的统计结果为依据,分析2016年中国网站的安全漏洞情况。
一、扫描网站介绍
根据工信部相关规定,网站域名需在主管部门备案。
一般网站正常备案的类型为:
政
府机关、军队、事业单位、社会团体、企业、个人、基金会、律师事务所等类型,本节主要
对webscan扫描的有备案网站和域名类型角度进行介绍。
2016年全年(截至11月15日),360网站安全检测平台共扫描各类网站万个。
其中共有万备案网站,其中企业备案的占%,占比最高,其次是个人(%)、
政府机关(%)、事业单位(%)等。
从域名类型统计看,全球通用域名中域名最多,占比为%;
其次是
(%)、.org(%);
作为本土化域名,.占比为%,.的比例为%,其
他普通的域名(不含gov和edu)为%。
具体见下图。
1
二、漏洞数量
根据360网站安全检测平台全年扫描情况,扫出存在漏洞的网站万个,占比为%;
扫出存在高危漏洞的网站万个(全年去重),占扫描网站总数的%,相比2015年有
一定下降。
相比较而言,2016年网站检出高危漏洞的情况有所好转。
从检测出漏洞的危险等级看,2016年高危漏洞数量占%,中危占%,低危占
%,相比于2015年变化不大。
下图给出了360网站安全检测平台每月扫描出存在高危漏洞的网站个数(当月去重)。
与2015年的大起大伏相比,今年变化较小,上半年数量总体高于下半年;
其中,在全年各
月中,3月扫出的有高危漏洞的网站数量最多,为万个。
2
360网站安全检测平台全年共扫描发现网站高危漏洞万次,较2015年万次
下图给出了2016年每月扫描出网站高危漏洞的次数。
其中3月份是扫出高危漏洞最多的月
份,数量达到万次。
综合高危漏洞扫出次数和检出有高危漏洞网站数量,虽然存有高危漏洞网站数量下降了,
但检出高危漏洞的数量却大幅增长,说明高危漏洞正在向少数网站集中,即绝大多数网站已
经基本不存在可自动检测的高危漏洞了,但极少数网站却集中出现大量高危漏洞。
3
三、漏洞类型分析
从网站漏洞类型上看,应用程序错误信息、异常页面导致服务器路径泄露、跨站脚本
攻击(XSS)漏洞等是2016年最为频繁扫出的漏洞类型。
下表给出了被扫出次数最多的十
大类典型网站安全漏洞:
排名漏洞名称漏洞级别扫出次数(万)
1应用程序错误信息低危
2异常页面导致服务器路径泄漏低危
3跨站脚本攻击漏洞高危
4SQL注入漏洞高危
5发现目录启用了自动目录列表功能低危
6发现敏感名称的目录漏洞低危
7IIS短文件名泄露漏洞低危
8WEB服务器启用了OPTIONS方法低危
9发现文件低危
10Mysql可远程连接中危
表12016年扫描出数量最多的10类网站漏洞
下图给出了各类网站安全漏洞被扫出次数的比例分布情况。
从图中可以看出,应用程
序错误信息(%)、异常页面导致服务器路径泄露(%)和跨站脚本攻击漏洞(%)
这三类安全漏洞是占比最高的网站安全漏洞,三者之和超过所有漏洞检出总次数的60%。
值得一提的是,“应用程序错误信息”漏洞是低危漏洞,改变了前两年高危漏洞稳居排名第
一的局面。
第二章人工挖掘漏洞分析
本章从人工挖掘角度,对网站漏洞情况进行分析。
主要根据补天平台公开征集收录白
帽子提交的漏洞信息,结合平台自身对漏洞的研究积累,从而分析2016年存在漏洞,且被
白帽子关注的全国数万个网站的安全状况。
一、漏洞数量
2016年1月1日-11月15日,补天平台公有SRC共收录各类网站安全漏洞32277个,
私有SRC(含众测)收录漏洞4911个,总共漏洞数为37188个,与2015年(37943个)基
本持平;
从涉及web站点看,2016年补天平台收录的漏洞涉及网站(按域名统计)共30329
个,同比(26370个)增加了3959个网站。
补天收录漏洞对应的网站可以注册加入补天平台,这通常意味着网站会安排专人对补
天平台报告的漏洞进行响应和处理,在一定程度上反应了网站对安全漏洞的重视程度。
统计
显示,在2016年被报告漏洞的备案网站中,有%的网站已加入补天平台,还有%
的网站未加入。
本章主要对公有版本(32277个漏洞)进一步分析。
下图为2016年1月至11月中旬,补天平台每月收录的网站漏洞数量统计。
可以看出,
去年前半年是白帽子发力的月份,而今年秋季则是白帽子收获最多的季节。
2016年补天平台收录的漏洞中,备案网站的漏洞有23982个,占比为%,未备案
或备案已过期的网站漏洞有8295个,占比为%。
而从网站角度看,备案网站有22929
二、漏洞类型分析
在补天平台2016年收录的网站漏洞中,通用型漏洞比例占比为%,相比2015年的
(%)有所下降。
不过,高危漏洞占比依然超过一半,为%、中危漏洞占%,
低危漏洞占%。
6
从漏洞性质看,在备案的网站中,通用型漏洞比例很低,仅为%,绝大多数漏洞(%)
相比而言,未备案网站存在的漏洞中,通用型漏洞比例为%,而事件型
漏洞比例为%。
鉴于多数通用型漏洞属于可以检测的已知漏洞,而事件型漏洞则存在一定的偶发性和不
可预测性。
所以,上述数据表明,备案网站
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网站 安全漏洞 形势 分析 报告