掛馬檢測平臺把脈網(wǎng)絡(luò)安全事件

被掛馬網(wǎng)站囊括多數(shù)高校

2010年上半年，北大網(wǎng)站掛馬監(jiān)測平臺累計檢測到近400個教育網(wǎng)頂級域名下的1,248個網(wǎng)站被掛馬，上半年掛馬率為3.52%（即在上半年周期內(nèi)，教育網(wǎng)內(nèi)有3.52%比例的網(wǎng)站曾被檢測出掛馬）。每月在教育網(wǎng)中檢出的掛馬網(wǎng)站數(shù)量和月度的掛馬率變化趨勢如圖 1所示，總體呈現(xiàn)快速增長趨勢。2月份由于春節(jié)假期等因素掛馬網(wǎng)站數(shù)量較少，進入3月份中下旬由于當時IE瀏覽器中爆出iepeers零日漏洞（又稱為”極風”），以及攻擊該漏洞的網(wǎng)馬在黑客社區(qū)中廣泛流傳，3月份和4月份的教育網(wǎng)掛馬網(wǎng)站數(shù)量成倍攀升，并在5月和6月高考高招臨近期保持在高位狀態(tài)，月度掛馬率接近2%。

圖1 2010年上半年教育網(wǎng)網(wǎng)站掛馬數(shù)量和月度掛馬率統(tǒng)計

對于我們平臺所檢出的教育網(wǎng)掛馬網(wǎng)站，我們也在檢出后第一時間查詢Google安全瀏覽(Google Safe Browsing)API接口，獲取Google是否對這些網(wǎng)站進行惡意標注的結(jié)果。結(jié)果發(fā)現(xiàn)Google對平臺檢出的1,248個掛馬網(wǎng)站，僅標注了295個，未標注比例達到了76.4%，而對每次檢測的未標注比例則更是高達79.3%。該數(shù)據(jù)說明雖然Google安全瀏覽計劃監(jiān)測面很廣，但對中國教育網(wǎng)的監(jiān)測覆蓋面尚不夠充分。

北大掛馬監(jiān)測平臺目前對教育網(wǎng)網(wǎng)站大約3天進行一輪全網(wǎng)站深度監(jiān)測，而每輪監(jiān)測到的掛馬率變化情況如圖 2，最高值為近0.7%，檢出245個網(wǎng)站，最低值為0.02%。

圖2 2010年上半年教育網(wǎng)網(wǎng)站每輪監(jiān)測掛馬率

在2010年上半年檢出的1,248個掛馬網(wǎng)站中，我們進一步對這些網(wǎng)站在平臺每輪監(jiān)測中檢出次數(shù)和掛馬檢出的持續(xù)時間進行了統(tǒng)計，其分布如圖 3所示。檢出次數(shù)最多的達到25次，為某高校教育科學學院二級網(wǎng)站，平均檢出次數(shù)為3.93；檢出持續(xù)時間最長的132天，為某高校生物技術(shù)學院，在1月下旬檢出后一直保持被掛馬狀態(tài)，持續(xù)被平臺檢出，平均掛馬持續(xù)時間為23.2天。這說明教育網(wǎng)部分網(wǎng)站對掛馬的檢測和響應還遠遠不夠主動和迅速，也使得掛馬網(wǎng)站持續(xù)地對訪問者構(gòu)成安全威脅。

圖3 2010年上半年教育網(wǎng)掛馬網(wǎng)站檢出次數(shù)和掛馬持續(xù)時間分布

檢出的1,248個掛馬網(wǎng)站分布于401個教育網(wǎng)頂級域名（即大致分布于近400個高校和科研院所單位），檢出掛馬網(wǎng)站最多頂級域名（haue.edu.cn），從2月3日至6月5日，在該域名下持續(xù)有47個不同的網(wǎng)站被檢出掛馬，檢出次數(shù)達到223次。

經(jīng)分析，該高校網(wǎng)站大部分都建在同一IP的服務(wù)器上，且均采用了ASP動態(tài)頁面建站，而被植入的網(wǎng)頁木馬也都屬于同一滲透代碼工具包(Exploit Kit)且宿主域名源于同一動態(tài)域名服務(wù)，因此可以推測該高校大量網(wǎng)站被掛馬是同一攻擊者(團伙)所為，通過攻入服務(wù)器，在不同虛擬主機目錄的網(wǎng)頁中插入惡意掛馬鏈接，從而實施網(wǎng)站掛馬攻擊。在檢出掛馬網(wǎng)站的401個頂級域名中，平均每個域名下有3.02個掛馬網(wǎng)站，這些檢出掛馬網(wǎng)站的頂級域名所屬單位也幾乎囊括了目前國內(nèi)所有985及211高校。  

北大網(wǎng)站掛馬監(jiān)測平臺具有網(wǎng)頁木馬精確定位和掛馬鏈提取功能，對于檢測到的掛馬網(wǎng)站，能夠追溯網(wǎng)頁木馬URL鏈接及宿主站點。基于這些原始數(shù)據(jù)，我們對上半年教育網(wǎng)檢出的網(wǎng)頁木馬URL及宿主站點進行統(tǒng)計分析，從而嘗試尋找一些攻擊者構(gòu)建掛馬攻擊場景的技術(shù)規(guī)律。

在平臺對1,248個掛馬網(wǎng)站的累計25,501次檢出結(jié)果中，這些掛馬網(wǎng)站最終裝載了位于744個宿主上的1,534個網(wǎng)頁木馬URL，傳播網(wǎng)站數(shù)量最多的網(wǎng)頁木馬宿主站點如表2，最多的宿主站點o.lookforhosting.com上的網(wǎng)頁木馬鏈接在143個教育網(wǎng)網(wǎng)站中植入傳播。表 3顯示了影響掛馬網(wǎng)站數(shù)量最多的網(wǎng)頁木馬宿主站點根域名，以及在這些根域名上所發(fā)現(xiàn)的網(wǎng)頁木馬宿主站點數(shù)量，從中可以看出大量網(wǎng)頁木馬宿主站點利用免費域名服務(wù)申請的動態(tài)域名進行DNS解析，這說明了國內(nèi)動態(tài)域名服務(wù)尚存在被濫用的情況，需對動態(tài)域名注冊進一步加強安全管理。

圖4 教育網(wǎng)檢出掛馬網(wǎng)站數(shù)量和次數(shù)的頂級域名分布情況。

在我們的監(jiān)測過程中發(fā)現(xiàn)，檢出的掛馬網(wǎng)站在每輪監(jiān)測中提取到的網(wǎng)頁木馬URL鏈接和宿主站點具有高度的變化性，73.1%的掛馬網(wǎng)站所掛接的網(wǎng)頁木馬URL宿主站點進行了變化轉(zhuǎn)移，每個掛馬網(wǎng)站平均對應的網(wǎng)頁木馬宿主站點數(shù)竟達到了4.82，這種高度變化性顯然是在對抗目前產(chǎn)業(yè)界和國家監(jiān)管部門普遍實施的黑名單域名和網(wǎng)址過濾機制，也對有效應對處置網(wǎng)站掛馬威脅提出了更高的挑戰(zhàn)。

“極風”和“極光”橫行網(wǎng)絡(luò)

目前北大網(wǎng)站掛馬監(jiān)測平臺主要仍采用動態(tài)行為分析技術(shù)檢測和發(fā)現(xiàn)掛馬網(wǎng)站，尚無法自動化地分析出網(wǎng)頁木馬所利用的安全漏洞類型。為了進一步完善平臺，我們已經(jīng)在瀏覽器模塊間通訊劫持技術(shù)、基于安全漏洞特征的網(wǎng)頁木馬檢測方法、基于安全漏洞模擬的網(wǎng)頁木馬檢測方法等方面取得了技術(shù)突破，相關(guān)研究成果發(fā)表于AsiaCCS’10等知名國際會議上，也將利用創(chuàng)新技術(shù)進一步完善監(jiān)測業(yè)務(wù)平臺。

根據(jù)對固化保全的網(wǎng)頁木馬攻擊場景的人工輔助分析結(jié)果，我們總結(jié)了2010年上半年檢出的網(wǎng)頁木馬所主要利用的安全漏洞和攻擊方式，網(wǎng)馬利用最為流行和普遍的漏洞莫屬IE瀏覽器中爆出的MS10-018（國內(nèi)又稱“極風”）和MS10-002（“極光”），而2009年的MS09-043、MS09-032，2008年的MS08-054、聯(lián)眾GLIEDown.IEDown.1控件多個緩沖區(qū)溢出漏洞，2007年的RealPlayer IERPCtl.IERPCtl.1控件漏洞和“老的掉牙”的MS06-014漏洞仍頻頻出現(xiàn)在集成多個滲透攻擊代碼的網(wǎng)馬攻擊包中。

希望高校網(wǎng)絡(luò)安全管理人員能夠充分重視，對相關(guān)網(wǎng)站進行全面檢測和安全加固，積極預防，盡量避免網(wǎng)站掛馬等安全事件的發(fā)生。
如果有需要服務(wù)器的租用與托管的敬請聯(lián)系QQ：１５０１２８１７５８（億恩星辰）　　　聯(lián)系電話：０３７１—６３３２２２２０

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]