转载

2015年8月数据安全漏洞分析报告

安华金和数据库攻防实验室（DBSec Labs）以月为单位，将高危漏洞汇总，形成分析报告，分享广大用户及合作伙伴。

8月报告核心观点

1.Web是数据泄露的主要渠道 2.互联网成为数据泄漏频发地 3.8月常见数据泄漏原因 4.针对数据泄漏的防范手段

报告正文

2015年8月，我们总结发布了102个数据泄密高危漏洞，这些漏洞分别来自漏洞盒子、乌云、补天等平台，涉及11个行业，企业机构、互联网、交通运输、教育、金融保险、旅游、能源、社保公积金、医疗卫生、运营商、政府。102个漏洞中，其中绝大多数泄露威胁是由SQL注入和弱口令引起的。

Web是数据泄漏的主要渠道

自互联网普及之日起，Web由于它在网络中的位置和广泛的用途、不兼容的协议等多种原因，长期处于黑客视野之中。在《2015年全球数据泄露调查报告》中明确指出由技术原因导致的数据泄漏，第一名就是Web端的SQL注入。相信在长时间内这一情况不会有太大好转。

互联网成为数据泄漏频发地

从8月102个数据泄露威胁的行业来看，互联网行业成为重灾区。其中39个数据泄漏威胁直指互联网，占全部数据泄露威胁的38%。金融、政府、企业机构紧随其后，漏洞比例分别占10%以上。

2015年8月数据安全漏洞分析报告

8月安全漏洞行业分布

互联网行业，不但数据泄露安全威胁多而且可能泄露的数据量也非常巨大，基本都在200W条以上。最主要原因是由于互联网公司的业务发展速度较快，但是长期以来互联网公司大多只把关注点放在业务上，先让业务系统运转，把业务支撑起来，至于这里面的信息安不安全往往是第二步；同时还有一个很重要的原因由于成本等因素升级任务往往进行外包，以至于大量网站的代码有明显的缺陷。这些缺陷最终很可能给网站带来数据泄漏威胁。

在企业机构和金融行业中，上述问题也是数据泄密的重要原因之一，同时还因大量人为因素存在。例如泛华保险某核心系统、甘肃省某政府系统、湖北政府某平台等存在不同程度的弱口令。

8月常见数据泄露原因

Web开发中出现的代码缺陷，很可能最终转化成数据泄漏的漏洞。这种漏洞往往会被SQL注入利用；弱口令更多是人为因素导致，企事业单位应该在管理机制上尽量避免弱口令的出现。

2015年8月数据安全漏洞分析报告

8月份数据泄漏威胁主要原因

SQL注入是当前针对数据库安全进行外部攻击的一种常见手段。当前应用大多基于B/S模式开发，因此通过SQL注入等方式对数据库进行攻击的案例逐渐增多，其所带来的危害性比例也逐步升高。

弱口令完全可以通过定期更换密码和利用一些小型安全检查软件来避免。弱口令虽然技术难度不高，但大量的存在于互联网行业当中。笔者在分析这部分内容时用一款自动化扫Web软件，对某网段中的网页进行扫描发现大量弱口令：

2015年8月数据安全漏洞分析报告

通过对30个网站样本进行扫描，发现3个弱口令。其中第一个是admin|f297a57a5a743894a0e4。7a57a5a743894a0e，百度一下就知道是admin的CMD5值。也就是说第一个网站他的管理员账号密码和用户名是一致的。密码的设置一定要避免和一些可能无需登录就能暴露出来的信息有关。笔者建议密码千万不要和用户名、网站名或域名有任何关系，这些都是极容易被别人猜出来的。