行业动态
客户服务
联系电话:4006-1111-58
022-23707273
真:022-87898899
QQ: 点击这里给我发消息
首页>行业动态 >

新浪微博Web蠕虫事件:利用SNS人际关系

发布时间:2011-07-05 09:50:36        来源:

2011628日晚间20时左右,新浪出现了一次比较大的XSS(跨站脚本)漏洞攻击,中毒的微博用户会自动向自己的粉丝发送诸如建党大业中穿帮的地方个税起征点有望提到4000”郭美美事件的一些未注意到的细节“3D肉团团高清普通话版种子等含毒的微博与私信,并自动关注一位名为hellosamy,粉丝点击后会再次中毒,然后形成恶性循环。新浪微博蠕虫爆发仅执续了16分钟,受影响用户就达到将近33000个。本次攻击仅做了发微博、加关注和发私信等操作,暂时没有其它恶意行为。

眼前的新浪微博蠕虫事件不禁让我们又想到2009年的Twitter的蠕虫事件,二者有很多共同之处,向好友或粉丝发信息(“中毒链接)、增加关注度、点击传播,虽然没有盗取用户的任何账户信息,但却都给用户造成了很大的麻烦。此次,Web蠕虫同样利用了新浪微博中某个页面存在的XSS跨站漏洞,导致用户浏览时执行了第三方网站中的恶意脚本,随后蠕虫继续通过这些用户进行传播。它利用SNS用户间的人际关系、带有诱惑性字样的博文,引起别人关注并点击,从而得到大范围的传播,这是SNS类蠕虫中较为普遍的形式。

本次新浪Web蠕虫事件是一个非存储型XSS利用,即攻击串是保存在Web服务端,但是感染受害的是点击访问的用户。从安全的角度,新浪的Web服务器端首先是尽快检测发现并清除相应的攻击串,再次是修补其Web应用程序的XSS漏洞,这是临时的应急措施,最好今后Web运营中部署目前专业的Web应用防火墙设备进行保护。而作为上网冲浪的用户,应该在客户端或者网关处部署专业的防病毒产品,实时检测过滤访问请求的内容,以过滤掉恶意的站点或连接。

随着互联网的普及,我们的工作、生活与互联网密不可分,Web应用安全的地位也日益重要。此次,新浪Web蠕虫事件,虽然仅限于滥发含毒私信和连接,但是并不是所有的Web蠕虫都如此善良,利用Web蠕虫窃取微博帐户、窃取用户信息的事件早就发生过,例如2005年,Samy Kamkar利用MySpace的漏洞注册了会员,并公开所有账户资料,然后复制JavaScript片段到查看过他资料的用户账号上,继续传递,于是在24小时内,他的好友达到100万以上。这些事件无论是给Web经营者还是Web访问者都带来了警示,如何保护Web服务运营的安全性?如何保护自身上网的安全性?

此次,新浪蠕虫事件,安信华的网络安全试验室迅速响应,不仅加强关注其客户Web服务器的流量安全,还迅速升级了其上网安全网关的恶意站点库,保护其用户上网时免受新浪Web蠕虫的危害。在此,安信华互联网安全实验室的专家提醒客户遇到此种事情不要惊慌,可以上报专业的互联网安全机构,也可以征询专业人员的服务帮助,以快速进行应急处理。