安全漏洞研究趨勢分析

康 峰

（太原理工大學，山西 太原 030024）

2009年的信息安全領域有很多安全事件發生，典型如Conficker蠕蟲、中國電信六省斷網事件，朝鮮DDos攻擊事件、百度DNS劫持事件、社交網絡危險等等，每一個安全事件都對互聯網安全造成了大范圍的極其嚴重的影響。基于傳統的攻擊手段如DDos爆發出新的威力，新的基于Web2.0的攻擊也開始大范圍爆發，同時蠕蟲木馬也在呈井噴式增長，形成了極其多樣的攻擊模式；其中最為嚴重的就是Conficker，該蠕蟲以微軟Windows操作系統MS08-067漏洞進行傳播，全球已有超過1 500萬臺電腦受到感染；受此影響基于微軟的安全漏洞研究一時間成為黑客的焦點。在今后的一段時間內，在安全漏洞研究領域，微軟操作系統的安全漏洞仍然是研究的焦點。

1 Window7的安全漏洞

在Windows7正式發布前，WindowsXP操作系統已經發布多年，用戶使用范圍廣，SP大規模補丁升級也進行了多次。與此同時隨著IE瀏覽器的不斷升級，針對IE7或IE8的安全漏洞也在逐漸增多。2009年微軟的月度補丁發布進行了幾次規模很大的安全漏洞升級，如2009年4月份發布了23個安全漏洞、6月份發布了31個安全漏洞，7月份發布了18個安全漏洞、8月份發布21個安全漏洞，9月和10月發布14個安全漏洞、12月發布12個安全漏洞等等，這些漏洞的規模發布從另外一個側面反映出微軟仍然是安全漏洞的生產大戶。

同時，微軟最新發布的Windows7，其系統安全在整體的安全方面進行了很多方面的改進，受到了用戶的廣泛好評。但隨著Windows7的市場份額增長，黑客將會把注意力轉向Wndows7。盡管微軟宣稱這是其有史以來最安全的民用補丁系統，但是仍然存在不少的安全隱患；在2009年10月的微軟補丁周期發布中，就又5個涉及到Windows7的系統漏洞補丁；而近期針對Windows7的各種破解版本也逐漸流行起來，所以針對Windows的安全漏洞將逐漸增多，基于Windows7的漏洞將會成為惡意程序疫情爆發的主要原因。

2 基于Web2.0的應用漏洞

Web2.0的應用在當今的互聯網有非常深遠的影響。和早期的Web1.0的以瀏覽器獲取信息為主的方式不同，Web2.0更注重用戶的交互作用，用戶既是網站內容的消費者，也是網站內容的制造者。隨著Web2.0在國內的流行，以博客和SNS社交網絡為主體的應用逐漸興起，如博客網、DoNew IT社區、百度貼吧、開心網等。

在 Web2.0 的框架下，Java Applet、ActiveX、Cookie、Ajax 等技術被大量應用，當用戶使用瀏覽器查看、編輯網絡內容時。采用了這些技術的應用程序會自動下載并在客戶端運行，采用了這些技術的應用程序被惡意使用，便可竊取、改變或刪除客戶機上的信息。對于惡意程序的侵害，用戶很難實時判斷出程序的性質，因此，在獲得高度交互的Web服務時，如何抵御這些安全威脅顯得尤為重要。最近一段時間先后發生多次基于Web2.0的SQL注入攻擊及跨站腳本的攻擊，預計未來一段時間基于Web2.0的漏洞分析仍然是漏洞挖掘的重點。

3 針對DNS服務的安全漏洞

從暴風影音DNS解析故障造成多省網絡中斷、Bind9DNS服務程序重大漏洞的發現，到Twitter的DNS記錄遭到篡改，再到百度DNS被劫持，網民訪問百度失敗及主頁被替換等等，越來越多的攻擊指向DNS。通過DNS服務漏洞提升管理權限并對DNS域名解析服務進行攻擊，將造成大范圍的安全事故。同時現階段很多內容服務商的DNS域名解析依賴于外部的DNS服務提供商，甚至是基于開源代碼的DNS服務程序，這也是造成這一現象的主要原因。考慮到這種攻擊的快速傳播性和嚴重危害性，今后一段時間針對DNS服務的漏洞研究將繼續升溫。

4 硬件設備安全漏洞

硬件設備尤其是安全類硬件設備在網絡安全防護體系中起著非常重要的作用。攻擊者在獲取了安全設備的訪問控制權限后，將能夠肆意修改各種安全策略從而破壞網絡安全的防護體系。由于硬件設備本身進行物理破壞較難，黑客和攻擊者將會更多的關注該硬件操作系統的健壯性。基于FreeBSD或完全自主研發的硬件操作系統會不可避免的出現安全上的漏洞。

2009年，以CISCO為代表的設備商先后發生多起嚴重的安全漏洞，如CISCO Linksys WRTS54G 802.11g無線路由器允許黑客在用戶防火墻關閉的情況下任意訪問路由器的網絡配置頁的漏洞，CISCO ACE設備管理器的A3(2.1)之前的軟件版本和CISCO ANM的ANM2.0之前軟件版本存在目錄遍歷漏洞，允許非授權訪問ACE操作系統和主機操作系統文件；CISCO ASA Web VPN書簽功能繞過安全限制漏洞。

5 移動設備領域的安全漏洞

移動設備大量采用智能操作系統，并具有WiFi功能，新的應用在安全方面上考慮較少，這為手機蠕蟲的傳播創造了條件。今后針對iPhone和Andorid操作系統的手機的工具會越來越多。2009年出現了第一款對iPhone手機平臺的惡意程序“iPhone明星照”，這無疑表明手機操作系統已經引起了黑客的關注。同時，現在可以運行iPhone上的第三方應用程序已經超過10萬個，程序種類多且各軟件的開發團隊對質量的把握有所差別，勢必造成大量的IPHONE的程序漏洞被挖掘出來。

6 以Adobe和Oracle為代表的應用軟件安全漏洞

目前除了微軟的各種操作系統和應用程序為大家所熟知外，大量的第三方應用程序如瀏覽器領域的Firefox、數據庫軟件領域的Oracle和MySQL、文檔編輯閱讀領域的Adobe等也和日常使用密切相關。根據Secunia等知名漏洞發布組織的數據顯示，以Adobe、Oracle、Firefox為代表的第三方應用程序也是安全漏洞的高發區，在2009年僅CVE就發布了數十個可以形成“zero-day”的安全漏洞。