2011年初,互联网上纷纷传播一个消息:某银行网上银行页面被挂马。一些安全专家在进行调查与分析后,确认该银行自己的页面没有被挂马,被挂马的是其网银页面中嵌入的第三方网页。这是一次典型的网站第三方内容安全事件。

绿盟科技的安全专家告诉我们,通常来说,具备安全意识的网站管理者都会自己Web应用进行检查,避免出现容易被利用的漏洞(如SQL注入和XSS)。但安全问题往往是整个系统最薄弱环节所导致的,而第三方内容正是这样缺乏有效管理和监控的薄弱环节。很多网站会通过<iframe>或者<script>的方式直接将第三方内容嵌入到网页中,这实际上将嵌入第三方内容的网页控制权隐性地"授权"给了第三方内容。第三方内容实际上获得了和原网站本地代码一样的权限去修改原网站在浏览器中显示的内容、甚至窃取用户的机密数据,从而导致网站"被黑"、"被挂马"、"被钓鱼"等多种安全事件。

那什么是"第三方内容"呢?简要来说就是网站所使用的非本站资源(包括文字、图片、Flash 、JavaScript脚本等各类网站资源)。这些非本站的资源往往被浏览器自动加载,网站访问者并不关心、也不知道这些资源来自于其他网站,因此对大多数访问者而言,他会认为在自己计算机上所看到的网页内容,全部都来自他所访问的网站。第三方内容方便易用,因此被广泛应用到网页编程中,但网站管理者却很少注意到它的安全隐患。

如上图,访问者在步骤1,用浏览器打开A网站网页时,同时将网页中嵌入的B网站内容指向下载到本地计算机,本地计算机在步骤2中,根据B内容指向,将B内容从B网站下载过来。在访问者的游览器中,最终呈现的是一个完整的A网页,访问者不会知道B内容实际来自于B网站。他会认为所有内容都来自A网站。一旦网站B出现安全问题就会直接影响到A网站,而此次某银行"被挂马"事件正是如此。目前第三方的安全威胁逐渐浮现出来。越来越多的Web安全研究者已经注意到了网站第三方内容的问题,甚至提出了"第三方内容劫持"这样专有的攻击方式。

互联网站是攻击者的主要目标,网站管理者都会对自己的网站进行安全保护,但很多管理者都忽略了对第三方内容安全性的检查。用户访问量大的网站会更容易成为攻击目标,所以安全防护通常更严密,攻击者入侵这些网站时往往很难找到明显漏洞。通过前面的分析,我们了解到第三方内容同样危害严重,而且很少受到检查和监控,攻击者就会利用这个最薄弱的环节发起攻击。

根据国内安全公司绿盟科技的调查分析,全球TOP100和中国大陆TOP100的网站中有超过69%的页面嵌入了第三方内容,即使是管理比较严格的金融行业网站也有20%的网页嵌入了第三方的内容,而中国大陆地区TOP100网站嵌入第三方内容的比例更是高达80.3%.这表明,国内大部分网站都存在着很高比例的、容易出问题的第三方内容,而网站安全管理并不太重视第三方内容存在的问题。

从根本上来说,对网站的第三方内容缺乏管理实际上是在现有的安全体系中引入了一个风险不可控的内容。如果缺乏对第三方内容有效的检查、监控和管理,网站的安全性将会遇到较大的威胁。要确保网站的安全,站点管理者必须高度重视第三方内容的安全性,必须对第三方内容安全进行有效的管理。绿盟科技的专家建议通过以下几个步骤加强对第三方内容安全管理:

1、建立第三方内容的安全审核机制,确保只嵌入有安全保障的第三方内容;

2、建立第三方内容定期安全检查机制,确保及时发现风险隐患并进行修补;

3、建立安全监测及事件的响应机制,一旦发生安全问题,能够具备行之有效的手段进行处理和响应。

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排 行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2019-06-12 13:18:43
互联网 医疗行业的IT安全方案这样做
大多数医疗IT安全负责人深谙,没有单一的解决方案能够确保患者的数据安全,只有合适的技术、人员和政策相结合才是正确的方法。 <详情>
2019-03-29 18:05:48
云技术 安全仍然是企业物联网客户最关心的问题
企业客户仍然渴望实施物联网系统来改善他们的业务,贝恩公司预计,物联网硬件、软件、系统集成、数据和电信服务市场将在2021年增长至5200亿美元,是2017年2350亿美元的两倍 <详情>
2018-09-19 11:11:00
区块链 2018年区块链安全分析:安全事件频发
一般认为,区块链较为安全。一方面,比特币的加密算法SHA256保证了私钥的难攻破性;另一方面区块链中拥有更多的节点,保证了即便单一节点被攻破,仍然有其他节点保护整个数 <详情>
2018-09-18 15:56:19
云安全 Facebook、谷歌售卖隐私数据,苹果反其道而行之
据外媒报道,苹果日前在“个人隐私军备竞赛”中升级,通过新版的Safari浏览器开始限制Facebook、谷歌等采集网民隐私。美联社报道指出,在个人隐私军备竞赛中,苹果以及另外 <详情>
2018-08-31 09:24:01
云安全 云计算安全的三个层面:技术风险、管理风险和法律风险
云计算在IT技术领域大放异彩,成为引领技术潮流的新技术。云计算的高速发展为试图重新聚焦关键业务目标的企业带来了许多利好,例如提高产品上市的速度、增加企业竞争的优势 <详情>