挂马检测平台把脉网络安全事件

《挂马检测平台把脉网络安全事件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、，为V嗍E络BS披T-O：R“软Y竺三二lI萼万方数据【检测平台'】■L—J挂马检测平台把脉网络安全事件■文／诸葛建伟目前，“极风”和“极光”横行网络，几乎国内所有985及211高校网站被挂马，网站挂马事件再次警醒了我们应该提高对安全事件的重视。网站挂马近年来一直是国内互联网安全最严重的安全威胁之一，也对教育网网站构成了危害。随着高考招生拉开帷幕，教育网网站，特别是高招网站，将成为广大考生和家长频繁浏览的热『】站点，也不可避免地成为恶意攻击者的关注目标。北京大学网络与信息安全实验室于去年完成了北大网站挂马监测平台系统的研发

2、，积极与赛尔网络、中国教育和科研网紧急响应组(CCERT)进行合作，在中国教育网体检中心项目中向教育网网站提供公益性的网站挂马监测服务。被挂马网站囊括多数高校2010年上半年，北大网站挂马监测平台累计检测到近400个教育网顶级域名下的1,248个网站被挂马，上半年挂马率为3．52％(即在上半年周期内，教育网内有3．52％比例的网站曾被检测出挂马)。每月在教育网中检出的挂马网站数量和月度的挂马率变化趋势如图l所示，总体呈现快速增长趋势。2月份由于春节假期等因素挂马网站数量较少，进入3月份中下旬由于当时IE浏览器中爆出iepe

3、ers零日漏洞(又称为”极风”)，以及攻击该漏洞的网马在黑客社区中广泛流传，3月份和4月份的教育网挂马网站数量成倍攀升，并在5月和6月高考高招临近期保持在高位状态，月度挂马率接近2％。对于我们平台所检出的教育网挂马网站，我们也在检出后第一时间查询C,oogle16中田t青一培20107安全浏览(GoogleSafeBrowsing)API接口，获取Google是否对这些网站进行恶意标注的结果。结果发现Google对平台检出的l，248个挂马网站，仅标注了295个，未标注比例达到了76．4％，而对每次检测的未标注比例则更是高

4、达79．3％。该数据说明虽然Google安全浏览计划监测面很广，但对中国教育网的监测覆盖面尚不够充分。北大挂马监测平台目前对教育网网站大约3天进行一轮全网站深度监测，而每轮监测到的挂马率变化情况如图2，最高值为近0．7％，检出245个网站，最低值为0．02％。田1加'0年上半年教育网网站挂马数量和月度挂马翠在2010年上半年检出的1,248个挂马网站中，我们进一步对这些网站在平台每轮监测中检出次数和挂马检出的持续时间进行了统计，其分布如图3所示。检出次数最多的达到25次，为某高校教育科学学院二级网站，平均检出次数为3．93

5、；检出持续时间最长的132天，为某高校生物技术学院，在1月下旬检出后一直保持被挂马状态，持续被平台检出．平均挂马持续时间为23．2天。这说明教育网部分网站对挂马的检测和响应还远远不够主动和迅速，也使得挂马网站持续地对访问者构成安全威胁。检出的1,248个挂马网站分布于401个教育网顶级域名(即大致分布于近400个高校和科研院所单位)，检出挂马网站最多顶级域名(haue．edu．cn)，从2月3日至6月5日，在该域名下持续有47个不同的网站被检出挂马，检出次数达到223次。经分析，该高校网站大部分都建在同一IP的服务器上，且

6、均采用了ASP动态页面建站，而被植入的网页木马也都属于同一渗透代码工具包(ExploitKit)且宿主域名源于同一动态域名服务，因此可以推测该高校大量网站被挂马是同一攻击者(团伙)所为，通过攻人服务器，在不同虚拟主机目录的网页中插入恶意挂马链接，从而实施嘲站挂马攻击。在检出挂马网站的401个顶级域名中，平均每个域名下有3．02个挂马网站，这些检出挂马网站的顶级域名所属单位也几乎囊括了目前国内所有985及2ll高校。北大网站挂马监测平台具有网页木马精确定位和挂马链提取功能，对于检测到的挂马网站，能够追溯网页木马URL链接及宿

7、主站点。基于这些原始数据，我们对上半年教育网检出的网页木马URL及宿主：裹—1G—oogle墼堂对翟鱼竺堂教!墅妻马哩?塑标注埋堡站点进行统暨理堕堡注教育两挂9网站熊!箜塑g堕蜇注教育网挂马网整垄赞!!!塑Google未标注教育网挂马网站数953Google未标注教育网挂马网站次数17，093平台检出的教育网挂马网站数1。248平台检出的教育网挂马网站次数21．551计分析，从而尝试寻找一竺竺!查堡垦些望竺：!墅!竺!查堡苎些竺：!：!墅f些攻击者构万方数据圈22010年上半年教育网网站每轮监涓挂马隼圈32010年上半年教

8、育网挂马网站检出次数和挂马持续时间分布圈4教育网检出挂马同站数■和次数的顶蹲嫩分布情况建挂马攻击场景的技术规律。在平台对1,248个挂马网站的累计25，501次检出结果中，这些挂马网站最终装载了位于744个宿主上的1．534个网页木马URL，传播网站数量最多的网页木马宿主站点如表2，最多的宿主站点o．1