广东网警发布“安网2016”第十期周报

[复制链接]

该用户从未签到

发表于 2016-4-29 17:20:29 | 显示全部楼层 |阅读模式
“安网2016”网络安全专项治理行动开展第十、十一周(2016年2月29日至2016年3月13日)以来,共计发现98处安全隐患,已全部通报相关行业和单位整改,及时修补漏洞。在这些网站中,从危害程度来看,高危漏洞48个,占总比重的49%;从风险类别来看,XSS注入、SQL注入、信息泄露类漏洞是主要隐患类型,占总类别的85.7%;从行业类型来看,法院系统、医疗卫生、事业单位是隐患多发的主体,占总行业77.5%。

一、部分法院的信息系统存在严重安全漏洞。在本期检测中,发现5家法院单位的信息系统网站存在高危安全漏洞。这些系统和网站使用的建站框架是同一家公司开发的业务管理系统,管理系统的后台登录页面存在同一高危漏洞。以某市人民法院为例,通过该系统漏洞可轻易从后台得到管理员密码,得到该单位不同科室的账号密码近百个。利用管理员账号成功登录系统后,发现该网站曾被黑客攻击入侵并篡改页面情况。法院的信息系统一旦被不法分子入侵成功,可能会发布虚假信息或篡改重要信息,必然产生严重危害。目前,黑客的入侵攻击行为正在进一步调查中。

二、部分政务服务网站存在安全漏洞。本期对地市的政务服务网站进行重点监控,结果发现15个政务服务类网站存在不同程度的安全隐患。如某市国土资源网站,存在严重的高危漏洞,利用该漏洞攻击者可获取网站所有用户登录账号和密码。某市的社工网站,可利用高危漏洞直接执行命令添加新用户登录服务器后台,系统的用户信息存在极大泄露风险。这些政务服务类网站与公民权益息息相关,一旦被不法分子入侵,系统数据遭到非法篡改,将给民众的隐私财产安全带来一定的威胁。

三、某市中考题库管理系统存在高危漏洞。本期对省内各类教育系统进行了深入排查,结果发现某市中考题库管理系统存在着隐患严重的高危漏洞。该漏洞利用可执行命令实现对服务器进一步的入侵,一旦攻击者得逞,极有可能造成考题泄密的严重后果。近年来,全国已发生多起考题泄密事件,造成恶劣影响,严重影响了考试制度的公平选拔目的。因此,建议相关单位提高警惕,防范于未然,加强对题库系统的保护,积极排查隐患,及时修补漏洞,不给不法分子可乘之机。


四、某民航客户资料录入系统存在漏洞。本期还检测发现省内某民航客户资料录入系统存在漏洞隐患。利用该漏洞可以直接通过万能密码绕过登录验证,并通过客户信息查询功能中获取所有客户个人详细信息。此外,该漏洞还可能导致攻击者获得服务器权限,除造成用户信息被窃取、篡改和删除等后果外,还能瘫痪服务器致使系统无法正常运转。民航信息系统的数据量非常庞大,用户资料详实,攻击者将窃取用以倒卖或非法使用,希望有关部门高度重视,尽早修复。

五、工作建议。本期的检测排查,发现我省法院系统、政务服务、考试题库和民航系统等网站或信息系统存在较多的网络安全隐患。公安机关建议:一是建立安全排查与漏洞修补的联动机制,一旦发现高危漏洞,即时启动联动机制,对高危漏洞进行针对性研究,尽早采取修补、完善等根除措施,杜绝隐患;二是针对系统使用软件存在高危漏洞的隐患,建议广大网站管理员尽快将软件升级到最新的版本,以有效保护服务器安全,保障数据信息安全。而针对服务器权限获取的高危漏洞,建议在代码层面上进行修改,严格过滤用户非法输入,并加强后台上传限制,有效保护服务器安全和数据信息安全。三是对于不能进行补丁修复的单位,建议部署下一代防火墙产品进行安全防护。


使用高级回帖 (可批量传图、插入视频等)快速回复

*滑动验证:
您需要登录后才可以回帖 登录 | 注册会员

本版积分规则   Ctrl + Enter 快速发布  

发帖时请遵守我国法律,网站会将有关你发帖内容、时间以及发帖IP地址等记录保留,只要接到合法请求,即会将信息提供给有关政府机构。
关闭

最新公告上一条 /1 下一条

返回顶部找客服
快速回复 返回顶部 返回列表