瑞星2010上半年互聯(lián)網(wǎng)安全報(bào)告
2010-07-30 12:35:32二、掛馬網(wǎng)站
1、掛馬網(wǎng)站概述
瑞星“云安全”數(shù)據(jù)中心的統(tǒng)計(jì)表明，2010年上半年截獲的掛馬網(wǎng)站（網(wǎng)頁數(shù)量）總數(shù)目為2666萬個(gè)，比去年同期下降了90%。這是因?yàn)槿鹦擒浖蛻舳恕胺罀祚R”技術(shù)的應(yīng)用，以及把“云安全概念”成功應(yīng)用到了數(shù)百家互聯(lián)網(wǎng)主要廠商之中，兩者相加取得的結(jié)果。
2010年上半年，黑客通過掛馬網(wǎng)站攻擊用戶的成功率大幅度下降，掛馬網(wǎng)站攻擊總次數(shù)近1.4億次，比去年同期下降了85%。同期，盡管微軟操作系統(tǒng)及其相關(guān)軟件被曝了45個(gè)漏洞，但并未給總體的掛馬網(wǎng)站安全帶來負(fù)面影響。
從數(shù)據(jù)來看，0Day漏洞是黑客進(jìn)行網(wǎng)站掛馬的主要方式之一，黑客通常利用0day漏洞補(bǔ)丁發(fā)布之前的空窗期(*注)，大規(guī)模入侵用戶的電腦系統(tǒng)，從中獲取大量有價(jià)值的信息內(nèi)容。微軟3月份發(fā)布的漏洞“KB981374”是黑客掛馬最常使用的漏洞之一。
注：系統(tǒng)漏洞、軟件漏洞在網(wǎng)絡(luò)上被曝光之后，廠商需要一段時(shí)間來開發(fā)補(bǔ)丁程序，在對其進(jìn)行測試后發(fā)布，而曝光和發(fā)布之間的時(shí)期，被稱為“空窗期”。
2、掛馬網(wǎng)站及相關(guān)數(shù)據(jù)統(tǒng)計(jì)
瑞星“云安全”數(shù)據(jù)中心2010年上半年的監(jiān)測數(shù)據(jù)，統(tǒng)計(jì)來自“瑞星殺毒軟件”、“瑞星全功能安全軟件”自動(dòng)攔截的掛馬網(wǎng)站數(shù)量，截獲到的掛馬網(wǎng)站（以網(wǎng)頁個(gè)數(shù)統(tǒng)計(jì)）數(shù)目總計(jì)26658919個(gè)，攔截次數(shù)總計(jì)138479564次。
2010年上半年，瑞星“云安全”數(shù)據(jù)中心已攔截到138479564人次訪問掛馬網(wǎng)站，每天平均訪問人次達(dá)769331次。也就是說，平均每天有近77萬人次網(wǎng)民訪問過惡意網(wǎng)頁。
掛馬網(wǎng)站：指的是被黑客植入惡意代碼的正規(guī)網(wǎng)站，這些被植入的惡意代碼，通常會直接指向“木馬網(wǎng)站”的網(wǎng)絡(luò)地址。
木馬網(wǎng)站：是一種利用程序漏洞，在后臺偷偷下載木馬的網(wǎng)頁。這些網(wǎng)頁通常放在黑客自己管理的服務(wù)器上，當(dāng)用戶訪問時(shí)，會把許多木馬下載到用戶機(jī)器中運(yùn)行。
3、木馬網(wǎng)站域名
瑞星“云安全”數(shù)據(jù)中心截獲的數(shù)據(jù)表明，2010年上半年被攔截的木馬網(wǎng)站域名類型排行如下圖，排名第一是【.org】，攔截量達(dá)14505013次，有81.5%的木馬網(wǎng)站使用，前五名中排名緊隨其后的域名依次為【.com】、【.cn】、【.info】、【.com.cn】。
通過數(shù)據(jù)分析發(fā)現(xiàn)，2009年上半年木馬網(wǎng)站域名第一位的是【.cn】域名，攔截量達(dá)10402029次，【.org】域名排在第三位，攔截量達(dá)1418128次。2009年底國家停止個(gè)人用戶cn域名注冊后，黑客開始利用【.org】域名作為木馬網(wǎng)站的地址，這就是【.org】域名快速成為黑客最常用的木馬網(wǎng)站域名的原因。
4、網(wǎng)頁掛馬的主要方式
網(wǎng)站掛馬，是指黑客利用網(wǎng)站程序或者語言腳本解釋的漏洞，上傳一些可以直接對站點(diǎn)文件進(jìn)行修改的腳本木馬，然后通過web形式去訪問那個(gè)腳本木馬來實(shí)現(xiàn)對當(dāng)前的網(wǎng)站文件進(jìn)行修改，通常是frame或者script，也存在一些其它掛馬方式比如病毒下載、偽裝掛馬、CSS掛馬等。
通過瑞星云安全監(jiān)測顯示，2010上半年的掛馬方式主要以“JS掛馬”為主，每個(gè)月均占60%左右。同時(shí)通過圖表數(shù)據(jù)可以看出，框架掛馬方式呈上升趨勢，這種掛馬方式相對比較隱蔽，不容易被察覺。相反，由于殺毒軟件主動(dòng)防御的強(qiáng)大功能，病毒文件下載到本地后會被監(jiān)控發(fā)現(xiàn)并直接清除，因此通過病毒下載的掛馬方式正逐漸減少。主要掛馬方式所占比例如下圖所示：
