网站漏洞扫描工作存在的问题及解决方法

电子技术与软件工程

E le c tro n ic T e c h n o lo g y& S o ftw a re E n g in e e rin g

信息技术与安全In fo rm a tio n T e c h n o lo g y A n d S e c u rity

网站漏洞扫描工作存在的问题及解决方法

孙海波1梁文琴2

(1.国家广播电视总局广播电视科学研究院北京市100866 2.北京市延庆区体育运动学校北京市102100 )

摘要•■本文从对网站漏洞扫描工作的实际出发，归纳总结了对网站漏洞扫描工作的现状、问题、建议，以此来更好地开展此项工作。关键词：漏洞扫描；网络安全漏洞；防火墙

当前科学技术飞速发展，计算机网络带给人们诸多便利，大大提高了人们的工作效率，丰富了人们的娱乐生活。然而，计算机网络在带来方便的同时，也存在很多问题，比如网站遭受黑客攻击、网站被勒索、用户信息被窃取等等，对于单位或者个人的信息安全造成很大的影响，还可能会造成比较大的经济损失。因此，加强网络安全防护，保障网站安全运行，一直是网络从业人员的重中之重。而定期对网站进行网络安全漏洞扫描，可以及时发现网络安全漏洞，有效保障网站的安全运行。

1网站漏洞扫描工作情况

1.1网站漏洞扫描工作并非一劳永逸

几年来，我们一直对指定网站进行漏洞扫描工作，每年发现的安全漏洞数量虽然呈现下降趋势，但在每次的漏洞扫描过程中，都能够发现新的网络安全漏洞。在发现的安全漏洞中，中危漏洞要多于高危漏洞。因此，定时的漏洞扫描工作，可及时发现网站存在的安全漏洞，是保障网站安全运行的重要前提手段。1.2网络安全漏洞种类繁多

几年来，我们进行网站安全漏洞扫描工作，发现了种类繁多的安全漏洞。而且，有的漏洞是反复出现。主要的网络安全漏洞有：W e b应用安全类、中间件安全类、服务器安全类、移动应用安全类、业务逻辑安全类，如图丨所示。

2网站漏洞扫描工作中发现的问题

根据几年来我们所发现的网络安全漏洞，暴露的安全风险趋势，对网站漏洞扫描工作中发现的问题总结如下：

2. 1责任意识不强

个别单位对于通报的安全漏洞不能及时进行修复。比如，某单位在第丨次的网络安全检测环节中，发现其存在网络安全漏洞231 个，漏洞检测结果都己通过电话联系，并且发送邮件的方式告之对方。但是，发现的231个漏洞，在过去一个月之后，只有10丨个漏洞得到修复，其余130个漏洞仍然没有修复，需要再提醒、再追问才能够将漏洞彻底修复。

并输出l p F的电容负载来进行测量。对于向上电平转换器的传播延迟为6.8 n s。过渡能量估计为26.9P J。图3(b)示出了使用与图3(b)相同的测试配置所提出的电平转换器的测量波形。传播延迟为3.9 n s，每次转换的代价为26.1p J。表丨总结了测得的性能。

3结论

本文介绍了用于电源转换器的快速浮动高压电平转换器的设计。该电路采用一对预充电的M O S晶体管，以改善升高电压的传播延迟。使用0.25n m B C D技术实现并比较了高压电平转换器的性能。实验结果表明，提出的电平转换器可以将5V逻辑电平转换为 25 V和-25 V逻辑电平，传播延迟分别为6.4 n s e c和3.9 n s e c，每次转换的成本为26 p J。与传统的高压电平转换器相比，具有转换效率高，传输延迟低的改进功能。

参考文献

[1] 黄永华，陆春华.超声波扫描仪应用的单芯片超高转换率脉冲

发生器[R].超声学研讨会，2013 (07): 21-25.

[2] P.B e h n a m f a r a n d S.M i r a b b a s i,“D e s i g n o f a h i g h-

v o l t a g e a n a l o g f r o n t e n d c i r c u i t f o r i n t e g r a t i o n w i t h

C M U T a r r a y s，”in P r o c.I E E E B i o C A S2010, p p. 298-301.

[3] K.L e e,H.K i m,J.Y o o n,H.-S.O h, B.-H a P a r k,I I.

P a r k,Y.L e e,“A h i g h e f f i c i e n c y w i d e-l o a d-r a n g e

a s y n c h r o n o u s

b o o s t

c o n v e r t e r w i t h t i m e-b a s e

d d u a l-m o d e

c o n t r o l f o r S S D a p p l icat i o n s'*,2016 I E E E A s i a n S o l i d-

S t a t e C i r c u i t s C o n f e r e n c e(A-S S C C),2016, p p. 13-16.

[4] Z.S h e n,N.Y a n,a n d H.M i n,M A M u l t i m o d e D i g i t a l l y

C o n t r o l l e d B o o s t C o n v e r t e r W i t h P I

D A u t o t u n i n g

a n d C o n s t a n t F r e q u e n c y/C o n s t a n t O f f-T i m e H y

b r i d

P W M C o n t r o l,”I E E E T r a n s.P o w e r E l e c t r o n i c s, v o l. 26, n o.9,p p. 2588-2598, S e p t e m b e r2011.

[5] B.S e r n e e l s，E.G e u k e n s,B.D.M u e r,a n d T.P i e s s e n s,

W A1. 5W10V O u t p u t C l a s s-D A m p l i f i e r U s i n g a B o o s t e d S u p p l y f r o m a S i n g l e 3.3V I n p u t in S t a n d a r d 1.8V/3. 3V

0. 18u m C M O S,”I E E E I S S C C,p p.94-96, F e b r u a r y2012.

[6] C.Q i a o a n d J.Z h a n g,“C o n t r o l o f B o o s t t y p e C o n v e r t e r

a t D i s c o n t i n u o u s C o n d u c t i o n M o d e

b y C o n t r o l l i n g t h e

P r o d u c t o f I n d u c t o r V o l t a g e-S e c o n d”，2005 I E E E36th P o w e r E l e c t r o n i c s S p e c i a l i s t s C o n f e r e n c e，2005, p p. 1213-1219.

[7] 祁东亮，邢作霞，王湘明.一种用于模块化多电平转换器增加

电平的最近电平调制方法[C].第十五届沈阳科学学术年会论文集（理工农医）.2018.

作者简介

王晓婧（1983-)，女，陕西省西安市人。研究生学历，工程师。研究方向为集成电路半导体应用。

曾艳妮U988-)，女，陕西省西安市人。大学本科学历，工程师。研究方向为针集成电路电源系统u

王虎（ 1987-)，男，陕西省渭南市人。大学本科学历，工程师。研究方向为针集成电路电源系统。

熊平（ 1987-)，男，陕西省西安市人。大学本科学历，工程师。研究方向为针集成电路电源系统。

239

信息技术与安全

In fo rm a tio n T e c h n o lo g y A n d S e c u rity

电子技术与软件工程

E le ctro n ic T e c h n o lo g y& S o ftw a re E n g in e e rin g 图1：网络安全漏洞种类

这种消极怠工的汀为本身就是违法的。《中华人民共和国网络安全法》第：卜：条明确规定：“网络产品、服务应丐符合相关国家标准的强制性要求。网络产品、服务的捉供者不得设置恶意程序：发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部N报告”。

湖洞足攻击萏利用的主要f•段，虽然漏洞处置周期较前些年有火幅缩短，但是需要看到，漏洞处置黄金期随着利川I：具传播渠道的便捷正不断缩短。漏洞处置过程仍存在风险，其原因包含漏洞管理存在不统…的情况，包括漏洞的命名、漏洞的危害程度，以及在曰常系统运维过程中对漏洞风险认知不足，日常操作环境缺乏针对漏洞的风险规避措施等。

2.2网站“带病”上线

一些网站在设计之初就存在安全问题，比如某单位的门户网站，其后台管理中心的验证码是无效的，这就•能导致攻山•者可以对该网站注册的用户、密码进行暴力破解，如阁2所示。而且网站对于注册的川户名和密码也没有进行健壮性验证，我们用h u r p s u i t e工具轻易将该H站的⑴户f，和密码破解。而且该M站还存垂直越权漏洞，我们"J•以根据破解的普通川户帐号获得超级管现《帐户信息，进而以超级管理员身份进入网站，获得究令控制网站的权限，其后果不言而喻，如图3所示。

前期网络安全规划不充分，设计之初安全性考虑不充足，这吟问题在网站上线后便开始越来越明显地暴錤出来：N络安全设计+ 完备，系统安全域划分不明确，边界防护不清晰；人的因素仍然足网络安全里最重要的风险点，邮件系统、办公网络的非核心安全资产都有可能是潜在的K险点。

《信息系统安全等级保护甚本要求^丨丨•算扩展要求》第五章W 中提出，对r•单位的宵方网站等重要系统，在上线前必须进行安全检验，-定不能存在“带病”上线的情况。如果网站系统上线后，W为各种的安全漏洞，比如跨站脚本、弱丨丨令、远程执行代码等，被不法分r•利用了，将会造成巨大损失。

2. 3修复漏洞应付了事

有的中位在修复漏洞过程中，存在应付事的情况，认为这#

h是一鸣影响级别较低的漏洞，个会对丨叫站造成危害。？是，对r 通报的漏洞不以为然，修复漏洞也是应付斤讲。比如某单位的n户

N站，在汽f其网页源码时，我们发现存/I：文件物理路径泄露的安全漏洞，攻击者可利用返回的物理路径收集网站信息，进行更进一步的滓透测试成攻击。我们向该单位通报这一漏洞后，其很快修复了漏洞。但是/I：复测的过程中，我们发用该单位技术人员也只是将泄漏出来的物理路径进行了 •个简单的B a s e64编码加密。这根本就足一种掩耳盗铃的现象，只要通过B a s e64解码一下就能发现漏洞仍然存在，如图4所示。所以，这种自欺欺人的做法决不可取，网络攻击者可不会和你玩“捉迷藏”，而且这种行为本身就违法的。《中华人民共和国网络安全法》中第二十五条明确规定：“网络运营者应当制定I叫络安全事件应急预案，及时处置系统漏洞、计算机病毒、丨叫络攻击、网络侵入等安全风险”。

2.4传统网络安全问题依然严峻

当前网络攻击活动依然活跃，很多传统的网络安全漏洞仍是最常见的攻击手段。W e b服务器中，针对老旧漏洞的攻击占据绝大多数；S t n u s2代码执h•漏洞仍居W e b框架和应用的漏洞首位：弱密码、弱丨1令现象难以杜绝；大量智能设备遭恶意程序形成僵尸网络，被用于发起大流量的D D o S攻击，威胁被显著放大；目前感染木马、僵厂网络的风险正逐年上升，利用木马和僵尸网络进行进-步攻击的"丨能性会进-步增强。

比如在2020年第四次的网络安全检测任务中，某单位网站存在反射性跨站脚本攻击X S S漏洞，这种

危害巨大的传统安伞漏洞仍然存在，如阁5所示。因此，并不是说检测了很多次，这个网站就不会再有传统的网络安全漏洞，有可能网站进行/修改，或者修复之前旧漏洞乂产生了新漏洞，很多情况都可能造成新的网络安全漏洞产生。

3网站漏洞扫描工作建议

根据几年来网站漏洞扫描工作情况，对于今后这方面的工作谈几点建议：

3.1继续坚持对网站的定期安全漏洞扫描工作

2017年以来，我们一直对指定的几个网站进行安全漏洞扫描，已经W四年时间。每年四次扫描，基本上对每个网站己经有16次的f l描，还有M测扫描，每个网站起码被扫描都在20次以上。这么多次的丨1描过后，我们还是能够扫出N络安全漏洞。所以说，定期对H站进行漏洞丨丨描工作，是非常存必要的，这是我们发现漏洞、修M漏洞的主要方式方法，从而进一步保障网站的安全运行。

四年来，我们也发现了各式各样的安全漏洞和事件，比如网站被勒索、跨站脚本攻丄漏洞、丨丨S短文件名泄露、物理路径泄

240

电子技术与软件工程

E le ctro n ic T e c h n o lo g y& S o ftw a re E n g in e e rin g

信息技术与安全In fo rm a tio n T e c h n o lo g y A n d S e c u rity

V管理中心

用户名

m i

8643

图2：管理中心登陆页面展示

.'f*»WvbmZ2L21hdGVyaWFsl32pZGVvUlwMTgxMjl5L0YyMjdFODcyREQSMjhCN0UxMTg1MzY5Qkl0RUV£RDY0L2YzMGE2ND hi.*' oMjCX)MTBhMDNhNmn20A4MjhhMDkxLm 1wNA

t D e c o d e>：交挣

Bg/mjtenal/video/20191229/F227E872DD928B7E11B5369BB4tEDD6*A30a34fl*44e24410*03<6aed0828a091 i

图4：经过Base64解码后的物理路径

图5：网站存在跨站脚本攻击漏洞

露、A p a c h e S h i r o反序列化漏洞、H T T P.s y s远程执彳r代码漏洞、W e b l o g i c远程代码执行

漏洞、弱口令、联直越权i編洞、W i n d o w s 丁〇卩1?远程执行代码漏洞、511*1^2-061漏洞等等。每次发现新的漏洞，差不多都有•个从恐慌不知所措、N上查攻略如何修复、动手实践的过程，而丨1通过发现新的漏洞，足对我们技术丨fl队和漏洞存在单位的一次学习提高过程。在干中学、学中干，网站安全防护无小事，切不可大意。

3.2有效提升防火墙的隔离作用

防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔开的保护屏障，以保护用户资料与信息安全的一种技术m。我们利用该项技术可以内外隔离计算机网络，进而保护我们的网络。我们可以将防火墙看成是一张保护网络的防护网，可以结合各种安全策略，对外来的信息进行筛查，对于不良信息进行阻隔。防火墙大致可分为两部分，即分析器和分离器。分析器对各种访问网站的信息进行分析判断，分离器对不良信息进行排除阻断，即只有在防火墙同意的前提下，用户才能够进入计算机网络，如果不同意就会被阻挡于外。与此同时，防火墙还可以起到预瞥的作用，当有恶意攻击者对网站进行攻击时，防火墙会发出警报，有效防止网站被攻击。

防火墙按照功能一般分为三种：过滤型防火墙、应用代理类型防火墙、复合型防火墙。我们要根据自己网络的实际情况，合理选用防火墙，真正达到保障网络的目标。

3. 3提高网络安全从业人负的业务技能

保障网络安全，必须提升从业人员的网络安全技能。有关单位应加大对网络安全专业队伍的支持力度，组建行业网络安全专家队伍。开展行业网络安全检测评估，建立行业网络安全人员培训制度，对运行机构全体人员进行网络安全教育，对网络安全技术人员进行网络安全专业知识和技能培训，推动实施网络安全运行维护人员培训、持证上岗及考核。

3.4不断完善安全管理制度

进一步发挥安全团队在系统建设、运维过程中的作用，切实实现“一票否决”。围绕资金、人才、标准和工具等方面，建立长效保障机制和优先级队列，着力补齐短板，将机构风险控制在可接受的范围内。开展行业网络安全风险评估，对行业网络安全现状，特别是风险情况要周期性摸清底数。行政管理部门相关培训、检查、检测等所需经费以及运行机构相关网络安全建设、运维、培训、测评、应急处置等所需经费，相关单位应统筹纳入本单位年度预算。4结语

计算机网络安全措施主要包括保护网络安全、保护应用服务安全和保护系统安全三个方面，各个方面都要结合考虑安全防护的物理安全、防火墙、信息安全、W e b安全、媒体安全等等|21。而对网站进行安全漏洞扫描，是保护网络安全的重要前提，必须持之以恒，只有通过定时对网站进行漏洞扫描，才能及时发现漏洞、修复漏洞，保障网站的安全运行。网络安全无小事，必须时刻警惕。

参考文献

[1] 刘磊.计算机网络安全中防火墙技术研究[J].无线互联科技，

2018, 15 (22): 34-35.

[2]丁春燕.网络社会法律规制论[M].中国政法大学出版社，

2016 (09).

作者简介

孙海波（ 1979-)，男，河北省怀来县人。学士学位，现为国家广播电视总局广播电视科学研究院工程师。研究方向为网络安全及通信技术应用。

梁文琴（ 1979-)，女，河北省怀来县人。大学本科学历，现为北京市延庆区体育运动学校教师。研究方向为地理学、心理学、社会工程学。

241

更多推荐

漏洞,网站,进行,扫描,网络,工作