城门失火 殃及池鱼——-----第三方内容安全引发关注
2011年初,互联网上纷纷传播一个消息:某银行网上银行页面被挂马。一些安全专家在进行调查与分析后,确认该银行自己的页面没有被挂马,被挂马的是其网银页面中嵌入的第三方网页。这是一次典型的网站第三方内容安全事件。
绿盟科技的专家告诉我们,通常来说,具备安全意识的网站管理者都会自己Web应用进行检查,避免出现容易被利用的漏洞(如SQL注入和XSS)。但安全问题往往是整个系统最薄弱环节所导致的,而第三方内容正是这样缺乏有效管理和监控的薄弱环节。很多网站会通过的方式直接将第三方内容嵌入到网页中,这实际上将嵌入第三方内容的网页控制权隐性地“授权”给了第三方内容。第三方内容实际上获得了和原网站本地代码一样的权限去修改原网站在浏览器中显示的内容、甚至窃取用户的机密数据,从而导致网站“被黑”、“被挂马”、“被钓鱼”等多种安全事件。
那什么是“第三方内容”呢?简要来说就是网站所使用的非本站资源(包括文字、图片、Flash 、JavaScript脚本等各类网站资源)。这些非本站的资源往往被浏览器自动加载,网站访问者并不关心、也不知道这些资源来自于其他网站,因此对大多数访问者而言,他会认为在自己计算机上所看到的网页内容,全部都来自他所访问的网站。第三方内容方便易用,因此被广泛应用到网页编程中,但网站管理者却很少注意到它的安全隐患。
如上图,访问者在步骤1,用浏览器打开A网站网页时,同时将网页中嵌入的B网站内容指向下载到本地计算机,本地计算机在步骤2中,根据B内容指向,将B内容从B网站下载过来。在访问者的游览器中,最终呈现的是一个完整的A网页,访问者不会知道B内容实际来自于B网站。他会认为所有内容都来自A网站。一旦网站B出现安全问题就会直接影响到A网站,而此次某银行“被挂马”事件正是如此。目前第三方的安全威胁逐渐浮现出来。越来越多的Web安全研究者已经注意到了网站第三方内容的问题,甚至提出了“第三方内容劫持”这样专有的攻击方式。
互联网站是攻击者的主要目标,网站管理者都会对自己的网站进行安全保护,但很多管理者都忽略了对第三方内容安全性的检查。用户访问量大的网站会更容易成为攻击目标,所以安全防护通常更严密,攻击者入侵这些网站时往往很难找到明显漏洞。通过前面的分析,我们了解到第三方内容同样危害严重,而且很少受到检查和监控,攻击者就会利用这个最薄弱的环节发起攻击。
根据国内安全公司绿盟科技的调查分析,全球TOP100和中国大陆TOP100的网站中有超过69%的页面嵌入了第三方内容,即使是管理比较严格的金融行业网站也有20%的网页嵌入了第三方的内容,而中国大陆地区TOP100网站嵌入第三方内容的比例更是高达80.3%。这表明,国内大部分网站都存在着很高比例的、容易出问题的第三方内容,而网站安全管理并不太重视第三方内容存在的问题。
从根本上来说,对网站的第三方内容缺乏管理实际上是在现有的安全体系中引入了一个风险不可控的内容。如果缺乏对第三方内容有效的检查、监控和管理,网站的安全性将会遇到较大的威胁。要确保网站的安全,站点管理者必须高度重视第三方内容的安全性,必须对第三方内容安全进行有效的管理。绿盟科技的专家建议通过以下几个步骤加强对第三方内容安全管理:
1、建立第三方内容的安全审核机制,确保只嵌入有安全保障的第三方内容;
2、建立第三方内容定期安全检查机制,确保及时发现风险隐患并进行修补;
3、建立安全监测及事件的响应机制,一旦发生安全问题,能够具备行之有效的手段进行处理和响应。
官方微博/微信
每日头条、业界资讯、热点资讯、八卦爆料,全天跟踪微博播报。各种爆料、内幕、花边、资讯一网打尽。百万互联网粉丝互动参与,TechWeb官方微博期待您的关注。
想在手机上看科技资讯和科技八卦吗?
想第一时间看独家爆料和深度报道吗?
请关注TechWeb官方微信公众帐号:
1.用手机扫左侧二维码;
2.在添加朋友里,搜索关注TechWeb。
为您推荐
小米卢伟冰驾驶SU7 Max现身高通发布会 现场引媒体围观
盒马CEO侯毅将退休 CFO严筱磊将兼任CEO
卖完即止!特斯拉Model Y HW3.0现车优惠最高超1万元
央视315晚会曝光六大互联网消费黑幕 你中招了吗?
借4万多元、到手2万多元?央视315晚会曝光同程金融APP礼品卡套路
央视315晚会曝光婚恋平台乱象 世纪佳缘、珍爱网等被点名
央视315曝光AI伪造变脸变声诈骗
央视315曝光主板机黑灰产业链:网络水军利用主板机随意更改IP 逃避监管
去年央视315曝光的企业,现在怎么样了?
更多
- 苹果OLED屏iPad Pro可能要4月份才能发货 面板与操作系统均遇到挑战
- OpenAI CEO透露GPT-5发布时间尚未确定 终极目标是开发AGI
- 苹果iPad Air也有望转向OLED屏 但要等2028年
- 消息称20多年的Apple ID将成历史 在今年被Apple Account取代
- XAI大模型Grok-1已正式开源 但并不是在马斯克说的上周
- 特斯拉高管看好东南亚市场潜力 电动汽车和储能电池都有发展潜力
- 宝马集团去年交付超过37万辆纯电动汽车 PHEV也交付超过19万辆
- 苹果再收购一家AI初创公司 已在年初收购DarwinAI
- TikTok被意大利开出1000万欧元罚单 涉及3家分支机构
- 半导体面板等推动 2月份韩国ICT产品出口额增至165亿美元