安全漏洞研究趋势分析

康 峰

（太原理工大学，山西 太原 030024）

2009年的信息安全领域有很多安全事件发生，典型如Conficker蠕虫、中国电信六省断网事件，朝鲜DDos攻击事件、百度DNS劫持事件、社交网络危险等等，每一个安全事件都对互联网安全造成了大范围的极其严重的影响。基于传统的攻击手段如DDos爆发出新的威力，新的基于Web2.0的攻击也开始大范围爆发，同时蠕虫木马也在呈井喷式增长，形成了极其多样的攻击模式；其中最为严重的就是Conficker，该蠕虫以微软Windows操作系统MS08-067漏洞进行传播，全球已有超过1 500万台电脑受到感染；受此影响基于微软的安全漏洞研究一时间成为黑客的焦点。在今后的一段时间内，在安全漏洞研究领域，微软操作系统的安全漏洞仍然是研究的焦点。

1 Window7的安全漏洞

在Windows7正式发布前，WindowsXP操作系统已经发布多年，用户使用范围广，SP大规模补丁升级也进行了多次。与此同时随着IE浏览器的不断升级，针对IE7或IE8的安全漏洞也在逐渐增多。2009年微软的月度补丁发布进行了几次规模很大的安全漏洞升级，如2009年4月份发布了23个安全漏洞、6月份发布了31个安全漏洞，7月份发布了18个安全漏洞、8月份发布21个安全漏洞，9月和10月发布14个安全漏洞、12月发布12个安全漏洞等等，这些漏洞的规模发布从另外一个侧面反映出微软仍然是安全漏洞的生产大户。

同时，微软最新发布的Windows7，其系统安全在整体的安全方面进行了很多方面的改进，受到了用户的广泛好评。但随着Windows7的市场份额增长，黑客将会把注意力转向Wndows7。尽管微软宣称这是其有史以来最安全的民用补丁系统，但是仍然存在不少的安全隐患；在2009年10月的微软补丁周期发布中，就又5个涉及到Windows7的系统漏洞补丁；而近期针对Windows7的各种破解版本也逐渐流行起来，所以针对Windows的安全漏洞将逐渐增多，基于Windows7的漏洞将会成为恶意程序疫情爆发的主要原因。

2 基于Web2.0的应用漏洞

Web2.0的应用在当今的互联网有非常深远的影响。和早期的Web1.0的以浏览器获取信息为主的方式不同，Web2.0更注重用户的交互作用，用户既是网站内容的消费者，也是网站内容的制造者。随着Web2.0在国内的流行，以博客和SNS社交网络为主体的应用逐渐兴起，如博客网、DoNew IT社区、百度贴吧、开心网等。

在 Web2.0 的框架下，Java Applet、ActiveX、Cookie、Ajax 等技术被大量应用，当用户使用浏览器查看、编辑网络内容时。采用了这些技术的应用程序会自动下载并在客户端运行，采用了这些技术的应用程序被恶意使用，便可窃取、改变或删除客户机上的信息。对于恶意程序的侵害，用户很难实时判断出程序的性质，因此，在获得高度交互的Web服务时，如何抵御这些安全威胁显得尤为重要。最近一段时间先后发生多次基于Web2.0的SQL注入攻击及跨站脚本的攻击，预计未来一段时间基于Web2.0的漏洞分析仍然是漏洞挖掘的重点。

3 针对DNS服务的安全漏洞

从暴风影音DNS解析故障造成多省网络中断、Bind9DNS服务程序重大漏洞的发现，到Twitter的DNS记录遭到篡改，再到百度DNS被劫持，网民访问百度失败及主页被替换等等，越来越多的攻击指向DNS。通过DNS服务漏洞提升管理权限并对DNS域名解析服务进行攻击，将造成大范围的安全事故。同时现阶段很多内容服务商的DNS域名解析依赖于外部的DNS服务提供商，甚至是基于开源代码的DNS服务程序，这也是造成这一现象的主要原因。考虑到这种攻击的快速传播性和严重危害性，今后一段时间针对DNS服务的漏洞研究将继续升温。

4 硬件设备安全漏洞

硬件设备尤其是安全类硬件设备在网络安全防护体系中起着非常重要的作用。攻击者在获取了安全设备的访问控制权限后，将能够肆意修改各种安全策略从而破坏网络安全的防护体系。由于硬件设备本身进行物理破坏较难，黑客和攻击者将会更多的关注该硬件操作系统的健壮性。基于FreeBSD或完全自主研发的硬件操作系统会不可避免的出现安全上的漏洞。

2009年，以CISCO为代表的设备商先后发生多起严重的安全漏洞，如CISCO Linksys WRTS54G 802.11g无线路由器允许黑客在用户防火墙关闭的情况下任意访问路由器的网络配置页的漏洞，CISCO ACE设备管理器的A3(2.1)之前的软件版本和CISCO ANM的ANM2.0之前软件版本存在目录遍历漏洞，允许非授权访问ACE操作系统和主机操作系统文件；CISCO ASA Web VPN书签功能绕过安全限制漏洞。

5 移动设备领域的安全漏洞

移动设备大量采用智能操作系统，并具有WiFi功能，新的应用在安全方面上考虑较少，这为手机蠕虫的传播创造了条件。今后针对iPhone和Andorid操作系统的手机的工具会越来越多。2009年出现了第一款对iPhone手机平台的恶意程序“iPhone明星照”，这无疑表明手机操作系统已经引起了黑客的关注。同时，现在可以运行iPhone上的第三方应用程序已经超过10万个，程序种类多且各软件的开发团队对质量的把握有所差别，势必造成大量的IPHONE的程序漏洞被挖掘出来。

6 以Adobe和Oracle为代表的应用软件安全漏洞

目前除了微软的各种操作系统和应用程序为大家所熟知外，大量的第三方应用程序如浏览器领域的Firefox、数据库软件领域的Oracle和MySQL、文档编辑阅读领域的Adobe等也和日常使用密切相关。根据Secunia等知名漏洞发布组织的数据显示，以Adobe、Oracle、Firefox为代表的第三方应用程序也是安全漏洞的高发区，在2009年仅CVE就发布了数十个可以形成“zero-day”的安全漏洞。