業(yè)務(wù)專(zhuān)線：13711534025
摘要
網(wǎng)站漏洞：
2014年全年，360網(wǎng)站安全檢測(cè)平臺(tái)共掃描各類(lèi)網(wǎng)站164.2萬(wàn)個(gè)；其中，存在安全漏洞的網(wǎng)站為61.7萬(wàn)個(gè)，占掃描網(wǎng)站總數(shù)的37.6%；存在高危安全漏洞的網(wǎng)站共有27.9萬(wàn)個(gè)，占掃描網(wǎng)站總數(shù)的17.0%。
360網(wǎng)站安全檢測(cè)全年共掃描發(fā)現(xiàn)網(wǎng)站高危漏洞462.1萬(wàn)次，平均每天約13836次。
在所有掃出漏洞中，跨站腳本漏洞（33.7%）和報(bào)錯(cuò)型SQL注入漏洞（14.5%）這兩類(lèi)高危安全漏洞占比最高，二者之和接近網(wǎng)站所有漏洞檢出總次數(shù)的一半。
網(wǎng)站修復(fù)安全漏洞平均周期為78天，其中，高危漏洞修復(fù)平均周期最長(zhǎng)，為118天，中危、低危漏洞的平均修復(fù)周期分別為57天、58天。
OpenSSL心臟出血漏洞、Shellshock破殼漏洞、Struts2-021補(bǔ)丁繞過(guò)漏洞是2014年最具影響的三大安全漏洞。
網(wǎng)站篡改與后門(mén)：
2014年全年，360網(wǎng)站安全檢測(cè)平臺(tái)共掃描各類(lèi)網(wǎng)站164.2萬(wàn)個(gè)，其中，被篡改的網(wǎng)站17.7萬(wàn)個(gè)，約占掃描網(wǎng)站總數(shù)的10.8%。
2014年全年，360網(wǎng)站安全檢測(cè)共對(duì)8409臺(tái)網(wǎng)站服務(wù)器進(jìn)行了網(wǎng)站后門(mén)檢測(cè)，覆蓋網(wǎng)站199.6萬(wàn)個(gè)，掃描共發(fā)現(xiàn)約3465臺(tái)服務(wù)器存在后門(mén)，占所有掃描網(wǎng)站服務(wù)器的41.2%。 統(tǒng)計(jì)顯示，服務(wù)器刪除新發(fā)現(xiàn)后門(mén)的平均周期為8.28天。
2014年，惡意SEO后門(mén)的流行和新型網(wǎng)站后門(mén)管理工具QuasiBot的出現(xiàn)特別值得關(guān)注。
漏洞攻擊：
2014年全年，360網(wǎng)站衛(wèi)士共攔截各類(lèi)網(wǎng)站漏洞攻擊7.0億次，平均每天攔截漏洞攻擊209.6萬(wàn)次。
平均每月有11.0萬(wàn)個(gè)網(wǎng)站遭遇各類(lèi)漏洞攻擊，其中，11月是網(wǎng)站遭遇漏洞攻擊最為頻繁的一個(gè)月，平均每天約有6667個(gè)網(wǎng)站遭到漏洞攻擊。
從發(fā)起漏洞攻擊IP的地域分布來(lái)看，91.4%攻擊者IP來(lái)自境內(nèi)地區(qū)，來(lái)自境外的攻擊僅為8.6%。其中，境內(nèi)攻擊主要來(lái)自北京（32.9%）、江蘇（13.9%）、浙江（11.4%）、山東（10.0%）、廣東（7.40%）。
從遭到漏洞攻擊IP的地域分布來(lái)看，96.0%受害者IP為自境內(nèi)地區(qū)，境外的受害者僅為4.0%。其中，境內(nèi)遭到漏洞攻擊最多的地區(qū)是北京（18.1%）、河南（14.0%）、四川（13.8%）、浙江（11.7%）、江蘇（7.42%）等。
流量攻擊：
2014年全年，360網(wǎng)站衛(wèi)士共攔截各類(lèi)CC攻擊205.0億次，平均每天攔截CC攻擊6138萬(wàn)次。統(tǒng)計(jì)顯示，全年共有15.6萬(wàn)個(gè)網(wǎng)站被遭遇CC攻擊。
94.6%的CC攻擊來(lái)自境內(nèi)地區(qū)，其中，來(lái)自浙江CC攻擊數(shù)量最多，占境內(nèi)CC攻擊的12.0%，其次是廣東（11.8%）和山東（6.17%）。
2014年全年，360網(wǎng)站衛(wèi)士平均每月攔截各類(lèi)DDoS攻擊744.4Gb/s。5月（1389Gb/s）和7月（1444Gb/s）是全年攔截DDoS攻擊的高峰期。
網(wǎng)站安全性行業(yè)分析：
在各行業(yè)網(wǎng)站中，電子商務(wù)類(lèi)網(wǎng)站存在高危漏洞比例最高，為26%；其次為生活信息類(lèi)（24%）、醫(yī)療衛(wèi)生（22%）和企業(yè)公司（21%）。銀行類(lèi)網(wǎng)站相對(duì)安全性較高，存在高危漏洞比例最低。
各個(gè)行業(yè)網(wǎng)站修復(fù)漏洞平均周期也有很大差別：音樂(lè)影視類(lèi)、政務(wù)網(wǎng)站漏洞平均修復(fù)周期最長(zhǎng)，分別為97天和86天，其網(wǎng)站安全意識(shí)有待提高；而游戲網(wǎng)站、醫(yī)療衛(wèi)生類(lèi)網(wǎng)站修復(fù)漏洞平均周期較短，分別為65天和66天。
醫(yī)療衛(wèi)生、政府網(wǎng)站和社區(qū)論壇最容易遭到漏洞攻擊。一般來(lái)說(shuō)，一個(gè)網(wǎng)站遭遇的平均漏洞攻擊量越大，也就意味著這個(gè)網(wǎng)站對(duì)于攻擊者來(lái)說(shuō)，利用的價(jià)值越高。
在2014年遭遇CC 攻擊最多的100個(gè)網(wǎng)站中，社區(qū)論壇網(wǎng)站數(shù)量最多，占比高達(dá)27.0%；其次是企業(yè)公司（17.0%）、生活信息（16.0%）、醫(yī)療衛(wèi)生（10.0%）。
在遭遇CC 攻擊的網(wǎng)站中，企業(yè)公司網(wǎng)站平均被攻擊次數(shù)最多，高達(dá)1.63億次。事實(shí)上，向競(jìng)爭(zhēng)對(duì)手的網(wǎng)站發(fā)起流量攻擊，已經(jīng)成為部分企業(yè)之間惡意競(jìng)爭(zhēng)的常用手段。
網(wǎng)站攻擊戰(zhàn)術(shù)最新趨勢(shì)：
網(wǎng)站攻擊與漏洞利用正在向批量化，規(guī)模化方向發(fā)展，主要表現(xiàn)在以下五個(gè)方面：撞庫(kù)攻擊越演越烈、全網(wǎng)知識(shí)庫(kù)大大豐富、建站系統(tǒng)漏洞被廣泛利用、新漏洞發(fā)現(xiàn)與利用的速度越來(lái)越快、第三方代碼托管平臺(tái)被攻擊。
從2014年曝出的多起安全事件分析來(lái)看，利用網(wǎng)站服務(wù)器與手機(jī)APP之間的接口存在的漏洞對(duì)網(wǎng)閘服務(wù)器發(fā)起攻擊，已經(jīng)成為一種流行趨勢(shì)。
網(wǎng)頁(yè)篡改被大量用于釣魚(yú)攻擊，2104年下半年，特別是7月-9月間，大量政府教育類(lèi)網(wǎng)站遭篡改并被植入大量釣魚(yú)頁(yè)面。
網(wǎng)站防護(hù)技術(shù)前沿趨勢(shì)：
安全檢測(cè)從主動(dòng)式掃描向被動(dòng)式掃描轉(zhuǎn)變。
自動(dòng)化掃描向自動(dòng)化掃描與人工漏洞挖掘相結(jié)合轉(zhuǎn)變。
補(bǔ)天平臺(tái)：
2014年，補(bǔ)天平臺(tái)共收錄2490名“白帽子”提交的有效0day漏洞24724個(gè)，平均每天收錄有效0day漏洞70個(gè)。其中，共有1229名白帽子提交了通用漏洞5407個(gè)，1883名白帽子提交了事件漏洞19317個(gè)。
2014全年，補(bǔ)天平臺(tái)共向357名白帽子發(fā)布獎(jiǎng)金167.8萬(wàn)元，其中事件漏洞付款金額為61823元，通用漏洞付款金額：161.6萬(wàn)元。
90后目前已經(jīng)是白帽子的絕對(duì)主力，占比高達(dá)63.8%，80后占比34.4% ，00后占比1.8%。此外，在補(bǔ)天平臺(tái)2490名白帽子中，僅4名為女性，女性?xún)H占不足0.2%。某種程度上說(shuō)，白帽子的世界就是男人的世界。
企業(yè)網(wǎng)站與管理系統(tǒng)的主要安全問(wèn)題往往并不是那些技術(shù)復(fù)雜度很高的網(wǎng)站漏洞，而是一些比較低級(jí)的技術(shù)錯(cuò)誤或人為的失誤，主要表現(xiàn)在以下三個(gè)方面：密碼安全性不足、運(yùn)維配置不當(dāng)、SQL注入漏洞。
報(bào)告下載地址：http://yunpan.cn/cy5kJC3GqLbwQ （提取碼：5fdb）
本文轉(zhuǎn)載自 360互聯(lián)網(wǎng)安全中心
