GA黄金甲百日强网公益安全活动网站高危缝隙播报

颁布功夫：2011-08-15

GA黄金甲网络百日强网公益安全活动自7月份发展以来，受到了当局、教育等行业客户的极大关注，在一个月的功夫内，GA黄金甲网络RG-Slab安全钻研幼组共收到五百余份网站安全缝隙扫描申请，其中当局占43%，普教占23%，高校占21%，其他13%。RG-Slab安全钻研幼组通过对这些扫描汇报的深度分析和比力，共整顿出近阶段最常见也是风险较大的5大网站安全缝隙，特此颁布，但愿可能提醒各人关注自身网站安全。

活动官网：http://www.ruijie.com.cn/special/0707/Home.aspx

TOP1 跨站剧本

诱因：网站法式在接受用户提交的内容后，没有对在HTML文件中有特殊寓意的字符和关键字进行过滤，并将其直接显示在网页上，导致用户提交的内容扭转了网页原有的结构。

影响：存在跨站剧本缝隙的网站法式在用户提交了含有特殊字符的内容后页面可能会显示不正常，攻击者能够将蕴含恶意代码的跨站剧本提交给有该缝隙的网站法式，使得恶意代码植入到用户的网站上，这会影响到该网站用户的安全。

TOP2 SQL注入

诱因：网站法式在使用SQL语句执行数据库操作时，没有对用户提交的内容做出正确的处置，导致用户提交的内容粉碎了法式原先的SQL语句结构，使得网站法式对数据库操作犯错或扭转预约的数据库操作行为，我们把网站法式的这种问题称为SQL注入缝隙。

影响：攻击者能够利用SQL注入缝隙直接获取、批改或删除数据库的内部资料；或者有主张的在数据库内插入恶意代码，这些恶意代码最终会显示到用户的网页上，风险网站用户的安全；也可从数据库中获取用户名密码等沉要信息，或者直接利用SQL注入缝隙绕过登录查抄，从而获得网站系统的治理权。

TOP3 入侵告白

诱因：入侵者在用户的网页上植入了一些告白链接，常见的告白内容有游戏，打赌，彩票，色情等，有的也蕴含一些通例网站，这些告白链接无数不会显示出来，只是为了进行SEO，让搜索引擎能够更好搜索到那些网站，入侵者可以为此从获益人处得到有关的报答。

影响：用户的网站被大量植入这些不健全链接后，会严沉影响用户网站的名望，一些安全软件有可能因而把用户的网站视为不良网站而屏蔽。另一方面，网页被植入内容注明攻击者已经获得了网站的治理权限，用户网站随时都可能被入侵者粉碎。

TOP4 法式谬误信息

诱因：利用法式在处置某些接见要求时产生谬误，并将谬误忠告信息显示给接见者。