據(jù)國(guó)外媒體報(bào)道，IBM發(fā)布的年度《X-Force Trend and Risk Report》顯示，2009年軟件漏洞的數(shù)量整體上有所下降，而文件閱讀器及多媒體應(yīng)用程序的故障數(shù)量增長(zhǎng)50%。

　　IBM的 X-Force研發(fā)小組致力于研究漏洞公告，搜集其他基于網(wǎng)絡(luò)攻擊的數(shù)據(jù)。2009年這個(gè)小組記錄了6601個(gè)漏洞，這一數(shù)量較2008年下降了近11%。

　　但I(xiàn)BM同時(shí)表示文件閱讀器、編輯器及多媒體應(yīng)用程序的漏洞增加了50%。IBM將這些漏洞歸為客戶(hù)端漏洞，這里面也包括那些影響瀏覽器及操作系統(tǒng)的漏洞。

　　經(jīng)過(guò)對(duì)5個(gè)最受歡迎的網(wǎng)站進(jìn)行調(diào)查，其中三個(gè)網(wǎng)站涉及到PDF。攻擊者很容易的發(fā)現(xiàn)了Adobe's PDF軟件的漏洞，并通過(guò)垃圾戰(zhàn)及惡意網(wǎng)站鏈接對(duì)其發(fā)起攻擊。

　　IBM網(wǎng)絡(luò)安全系統(tǒng)部門(mén)的研究員湯姆·克羅斯(Tom Cross)認(rèn)為，“可以肯定的是有一幫壞家伙在攻擊那款軟件”。

　　IBM表示，兩外兩個(gè)網(wǎng)站包含F(xiàn)lash及ActiveX控件漏洞，通過(guò)ActiveX控件可以在瀏覽器上查看MS文檔。

　　IBM表示瀏覽器最容易出現(xiàn)客戶(hù)端漏洞。2009年火狐瀏覽器出現(xiàn)高危漏洞的數(shù)量是IE的兩倍，但令人欣喜的是到2009年年底這些漏洞都得到了修補(bǔ)。

　　IBM指出一半多的高危漏洞只是影響到四家用戶(hù)：微軟、Adobe、火狐和蘋(píng)果。這幾家公司平均漏洞修補(bǔ)比例達(dá)到66%，而蘋(píng)果做的最差，僅僅為38%。

　　IBM也研究了整體修補(bǔ)率。 X-Force 指出RIM、GNU、思科系統(tǒng)、Adobe及惠普做的最好。到2009年底，思科未發(fā)布的高危漏洞補(bǔ)丁數(shù)量只占1%，而其他公司則發(fā)布全部漏洞補(bǔ)丁。

　　而做的最差的公司包括Linux、Oracle、Novell及IBM，其數(shù)量各占到53%、38%、31%和27%。

　　X-Force也對(duì)web應(yīng)用程序的漏洞進(jìn)行了調(diào)查，這些漏洞可能會(huì)導(dǎo)致數(shù)據(jù)丟失就其他危害。

　　調(diào)查結(jié)果并不樂(lè)觀(guān)，到2009年底67%的web應(yīng)用程序漏洞沒(méi)有發(fā)布任何補(bǔ)丁。IBM表示跨站腳本執(zhí)行(cross-site scripting)超過(guò)SQL資料隱碼攻擊成為網(wǎng)站應(yīng)用程序第一大漏洞。

　　跨站腳本執(zhí)行是攻擊者利用網(wǎng)站程序?qū)τ脩?hù)輸入過(guò)濾不足，輸入可以顯示在頁(yè)面上對(duì)其他用戶(hù)造成影響的HTML代碼，從而盜取用戶(hù)資料的一種攻擊方式。當(dāng)輸入的指令得到生效而這一指令在后臺(tái)數(shù)據(jù)庫(kù)被執(zhí)行時(shí)，SQL資料隱碼攻擊就會(huì)發(fā)生導(dǎo)致數(shù)據(jù)丟失。

　　克羅斯指出2008年IBM監(jiān)控的SQL資料隱碼攻擊數(shù)量達(dá)到每天5000次。他還說(shuō)由于攻擊者利用自動(dòng)搜索工具查找網(wǎng)站站點(diǎn)進(jìn)行攻擊，這一數(shù)值已上升至每天1百萬(wàn)次。

　　網(wǎng)站攻擊者通過(guò)SQL資料隱碼攻擊在網(wǎng)頁(yè)上插入HTML代碼，這會(huì)導(dǎo)致網(wǎng)頁(yè)瀏覽者進(jìn)入另外一個(gè)網(wǎng)站。IBM還指出在2009年惡意網(wǎng)站鏈接的數(shù)量出現(xiàn)急劇增長(zhǎng)。

　　盡管SQL資料隱碼攻擊的數(shù)量在2009年有所下降，但很多網(wǎng)站應(yīng)用程序都是定制的，所以與常用的網(wǎng)站應(yīng)用程序相比出的問(wèn)題可能會(huì)更多�？肆_斯表示，“目前鑒定并修復(fù)網(wǎng)站應(yīng)用程序漏洞比任何時(shí)候都重要�！�

　　作者：鸚英