网站漏洞扫描工作存在的问题及解决方法

admin管理员组

文章数量:1535859

2023年12月18日发(作者：)

电子技术与软件工程Electronic Technology & Software Engineering信息技术与安全Information Technology And Security网站漏洞扫描工作存在的问题及解决方法孙海波1梁文琴2(1.国家广播电视总局广播电视科学研究院北京市100866 2.北京市延庆区体育运动学校北京市102100 )摘要•■本文从对网站漏洞扫描工作的实际出发，归纳总结了对网站漏洞扫描工作的现状、问题、建议，以此来更好地开展此项工作。

关键词：漏洞扫描；网络安全漏洞；防火墙当前科学技术飞速发展，计算机网络带给人们诸多便利，大大

提高了人们的工作效率，丰富了人们的娱乐生活。然而，计算机网

络在带来方便的同时，也存在很多问题，比如网站遭受黑客攻击、

网站被勒索、用户信息被窃取等等，对于单位或者个人的信息安全

造成很大的影响，还可能会造成比较大的经济损失。因此，加强网

络安全防护，保障网站安全运行，一直是网络从业人员的重中之重。

而定期对网站进行网络安全漏洞扫描，可以及时发现网络安全漏洞，

有效保障网站的安全运行。1网站漏洞扫描工作情况1.1网站漏洞扫描工作并非一劳永逸几年来，我们一直对指定网站进行漏洞扫描工作，每年发现的

安全漏洞数量虽然呈现下降趋势，但在每次的漏洞扫描过程中，都

能够发现新的网络安全漏洞。在发现的安全漏洞中，中危漏洞要多

于高危漏洞。因此，定时的漏洞扫描工作，可及时发现网站存在的

安全漏洞，是保障网站安全运行的重要前提手段。1.2网络安全漏洞种类繁多几年来，我们进行网站安全漏洞扫描工作，发现了种类繁多的

安全漏洞。而且，有的漏洞是反复出现。主要的网络安全漏洞有：

Web应用安全类、中间件安全类、服务器安全类、移动应用安全类、

业务逻辑安全类，如图丨所示。2网站漏洞扫描工作中发现的问题根据几年来我们所发现的网络安全漏洞，暴露的安全风险趋势，

对网站漏洞扫描工作中发现的问题总结如下：2. 1责任意识不强个别单位对于通报的安全漏洞不能及时进行修复。比如，某单

位在第丨次的网络安全检测环节中，发现其存在网络安全漏洞231

个，漏洞检测结果都己通过电话联系，并且发送邮件的方式告之对

方。但是，发现的231个漏洞，在过去一个月之后，只有10丨个漏

洞得到修复，其余130个漏洞仍然没有修复，需要再提醒、再追问

才能够将漏洞彻底修复。并输出lpF的电容负载来进行测量。对于向上电平转换器的传播延

迟为6.8

ns。过渡能量估计为26.9PJ。图3(b)示出了使用与图3(b)

相同的测试配置所提出的电平转换器的测量波形。传播延迟为3.9

ns，每次转换的代价为26.1pJ。表丨总结了测得的性能。and

Constant

Frequency/Constant

Off-Time

Hybrid

PWM

Control,”

IEEE

Trans.

Power

Electronics,

vol. 26,

no. 9,

pp. 2588-2598,

September 2011.[5]

B.

WA

Serneels，E.

Geukens,

B.

D.

Muer,

and

T.

Piessens,3结论本文介绍了用于电源转换器的快速浮动高压电平转换器的设

计。该电路采用一对预充电的M播延迟。使用0.25nmBCDOS1. 5W 10V

Output

Class-D

Amplifier

Using

a

3.3V

Input

in

Standard

Boosted

Supply

from

a

Single 1.8V/3. 3V

晶体管，以改善升高电压的传

V0. 18um

CMOS,”

[6]

C.

IEEE

ISSCC,

pp. 94-96,

February 2012.“Control

of

Boost

type

Converter

技术实现并比较了高压电平转换器的性

逻辑电平转换为

Qiao

and

J.

Zhang,

能。实验结果表明，提出的电平转换器可以将5at

Discontinuous

Conduct

ion

Mode

by

Controlling

the

Product

of

Inductor

Voltage-Second” ，

25

V和-25

V逻辑电平，传播延迟分别为6.4

nsec和3.9

nsec，每

次转换的成本为26

pJ。与传统的高压电平转换器相比，具有转换

效率高，传输延迟低的改进功能。参考文献[1] 黄永华，陆春华.超声波扫描仪应用的单芯片超高转换率脉冲

发生器[R].超声学研讨会，2013 (07): 21-25.[2]

P.

Behnamfar

and

S.

Mirabbasi,

“Design

of

a

high-

voltage

ana

log

f

rontend

circuit

for

integration

with

CMUT

arrays，”

in

Proc.

IEEE

BioCAS 2010,

pp. 298-301.2005

IEEE 36th

Power

Electronics

Specialists

Conferencepp. 1213-1219.， 2005,

[7] 祁东亮，邢作霞，王湘明.一种用于模块化多电平转换器增加

电平的最近电平调制方法[C].第十五届沈阳科学学术年会论文

集（理工农医）.2018.作者简介王晓婧（1983-)，女，陕西省西安市人。研究生学历，工程师。研究方向为集成电路半导体应用。曾艳妮U988-),女，陕西省西安市人。大学本科学历，工程师。研究方向为针集成电路电源系统u王虎（ 1987-)，男，陕西省渭南市人。大学本科学历，工程师。研究方向为针集成电路电源系统。熊平（ 1987-)，男，陕西省西安市人。大学本科学历，工程师。研究方向为针集成电路电源系统。[3]

K.

Lee,

H.

Kim,

J.

Yoon,

H.-S.

Oh,

B.-Ha

Park,

II.

“A

high

efficiency

wide-load-range Park,

Y.

Lee,

asynchronous

boost

converter

with

time-based

dual-mode

control

for

SSD

appl

icat

ions'* , 2016

IEEE

Asian

Solid-

State

Circuits

Conference (A-SSCC), 2016,

pp. 13-16.[4]

Z.

Shen,

N.

Yan,

and

H.

Min,

MA

Multimode

Digitally

Controlled

Boost

Converter

With

PID

Autotuning239

信息技术与安全Information Technology And Security电子技术与软件工程Electronic Technology & Software Engineering图1:网络安全漏洞种类这种消极怠工的汀为本身就是违法的。《中华人民共和国网络

安全法》第：卜：条明确规定：“网络产品、服务应丐符合相关国

家标准的强制性要求。网络产品、服务的捉供者不得设置恶意程序：

发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采

取补救措施，按照规定及时告知用户并向有关主管部N报告”。湖洞足攻击萏利用的主要f•段，虽然漏洞处置周期较前些年有

火幅缩短，但是需要看到，漏洞处置黄金期随着利川I:具传播渠道

的便捷正不断缩短。漏洞处置过程仍存在风险，其原因包含漏洞管

理存在不统…的情况，包括漏洞的命名、漏洞的危害程度，以及在

曰常系统运维过程中对漏洞风险认知不足，日常操作环境缺乏针对

漏洞的风险规避措施等。2. 2网站“带病”上线一些网站在设计之初就存在安全问题，比如某单位的门户网站，

其后台管理中心的验证码是无效的，这就•能导致攻山•者可以对该

网站注册的用户、密码进行暴力破解，如阁2所示。而且网站对于

注册的川户名和密码也没有进行健壮性验证，我们用hurpsuite工具

轻易将该H站的⑴户f,和密码破解。而且该M站还存垂直越权漏

洞，我们"J•以根据破解的普通川户帐号获得超级管现《帐户信息，

进而以超级管理员身份进入网站，获得究令控制网站的权限，其后

果不言而喻，如图3所示。前期网络安全规划不充分，设计之初安全性考虑不充足，这吟

问题在网站上线后便开始越来越明显地暴錤出来：N络安全设计+

完备，系统安全域划分不明确，边界防护不清晰；人的因素仍然足

网络安全里最重要的风险点，邮件系统、办公网络的非核心安全资

产都有可能是潜在的K险点。《信息系统安全等级保护甚本要求^丨丨•算扩展要求》第五章W

中提出，对r•单位的宵方网站等重要系统，在上线前必须进行安全

检验，-定不能存在“带病”上线的情况。如果网站系统上线后，

W步的滓透测试成攻击。我们向该单位通报这一漏洞后，其很快修复

了漏洞。但是/I:复测的过程中，我们发用该单位技术人员也只是将

泄漏出来的物理路径进行了 •个简单的Base64编码加密。这根本

就足一种掩耳盗铃的现象，只要通过Base64解码一下就能发现漏

洞仍然存在，如图4所示。所以，这种自欺欺人的做法决不可取，

网络攻击者可不会和你玩“捉迷藏”，而且这种行为本身就违法的。

《中华人民共和国网络安全法》中第二十五条明确规定：“网络运

营者应当制定I叫络安全事件应急预案，及时处置系统漏洞、计算机

病毒、丨叫络攻击、网络侵入等安全风险”。2.4传统网络安全问题依然严峻当前网络攻击活动依然活跃，很多传统的网络安全漏洞仍是最

常见的攻击手段。Web服务器中，针对老旧漏洞的攻击占据绝大多

eb数；Stnus2代码执h•漏洞仍居W用于发起大流量的D框架和应用的漏洞首位：弱密码、

弱丨1令现象难以杜绝；大量智能设备遭恶意程序形成僵尸网络，被

DoS攻击，威胁被显著放大；目前感染木马、

僵厂网络的风险正逐年上升，利用木马和僵尸网络进行进-步攻击

的"丨能性会进-步增强。比如在2020年第四次的网络安全检测任务中，某单位网站存

在反射性跨站脚本攻击XSS漏洞，这种危害巨大的传统安伞漏洞

仍然存在，如阁5所示。因此，并不是说检测了很多次，这个网站

就不会再有传统的网络安全漏洞，有可能网站进行/修改，或者修

复之前旧漏洞乂产生了新漏洞，很多情况都可能造成新的网络安全

漏洞产生。3网站漏洞扫描工作建议根据几年来网站漏洞扫描工作情况，对于今后这方面的工作谈

几点建议：3.1继续坚持对网站的定期安全漏洞扫描工作2017年以来，我们一直对指定的几个网站进行安全漏洞扫描，

已经W四年时间。每年四次扫描，基本上对每个网站己经有16次

的fl描，还有M测扫描，每个网站起码被扫描都在20次以上。这

么多次的丨1描过后，我们还是能够扫出N络安全漏洞。所以说，定

期对H站进行漏洞丨丨描工作，是非常存必要的，这是我们发现漏洞、

修M漏洞的主要方式方法，从而进一步保障网站的安全运行。四年来，我们也发现了各式各样的安全漏洞和事件，比如网

站被勒索、跨站脚本攻丄漏洞、丨丨S短文件名泄露、物理路径泄为各种的安全漏洞，比如跨站脚本、弱丨丨令、远程执行代码等，

被不法分r•利用了，将会造成巨大损失。2. 3修复漏洞应付了事有的中位在修复漏洞过程中，存在应付事的情况，认为这#

h是一鸣影响级别较低的漏洞，个会对丨叫站造成危害。？是，对r

通报的漏洞不以为然，修复漏洞也是应付斤讲。比如某单位的n户

N站，在汽f其网页源码时，我们发现存/I:文件物理路径泄露的安

全漏洞，攻击者可利用返回的物理路径收集网站信息，进行更进一240

电子技术与软件工程Electronic Technology & Software Engineering信息技术与安全Information Technology And Security防火墙技术是通过有机结合各类用于安全管理与筛选的软件和

V 管理中心用户名硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔开的

8643保护屏障，以保护用户资料与信息安全的一种技术m。我们利用该

项技术可以内外隔离计算机网络，进而保护我们的网络。我们可以

将防火墙看成是一张保护网络的防护网，可以结合各种安全策略，

对外来的信息进行筛查，对于不良信息进行阻隔。防火墙大致可分

为两部分，即分析器和分离器。分析器对各种访问网站的信息进行

分析判断，分离器对不良信息进行排除阻断，即只有在防火墙同意

的前提下，用户才能够进入计算机网络，如果不同意就会被阻挡于

外。与此同时，防火墙还可以起到预瞥的作用，当有恶意攻击者对

网站进行攻击时，防火墙会发出警报，有效防止网站被攻击。防火墙按照功能一般分为三种：过滤型防火墙、应用代理类型

防火墙、复合型防火墙。我们要根据自己网络的实际情况，合理选

用防火墙，真正达到保障网络的目标。3. 3提高网络安全从业人负的业务技能保障网络安全，必须提升从业人员的网络安全技能。有关单位

应加大对网络安全专业队伍的支持力度，组建行业网络安全专家队

伍。开展行业网络安全检测评估，建立行业网络安全人员培训制度，

对运行机构全体人员进行网络安全教育，对网络安全技术人员进行

网络安全专业知识和技能培训，推动实施网络安全运行维护人员培

训、持证上岗及考核。3. 4不断完善安全管理制度进一步发挥安全团队在系统建设、运维过程中的作用，切实实

现“一票否决”。围绕资金、人才、标准和工具等方面，建立长效

miPowered by Copyright ©2010-20IS图2:管理中心登陆页面展示.'f*»WvbmZ2L21hdGVyaWFsl32pZGVvUlwMTgxMjl5L0YyMjdFODcyREQSMjhCN0UxMTg1MzY5Qkl0RUV£RDY0L2YzMGE2ND

hi.*' oMjCX)MTBhMDNhNmn20A4MjhhMDkxLm 1 wNA保障机制和优先级队列，着力补齐短板，将机构风险控制在可接受

的范围内。开展行业网络安全风险评估，对行业网络安全现状，特

别是风险情况要周期性摸清底数。行政管理部门相关培训、检查、

tDecode> :交挣Bg/mjtenal/video/20191229/F227E872DD928B7E11B5369BB4tEDD6*A30a34fl*44e24410*03<6aed0828a091 i检测等所需经费以及运行机构相关网络安全建设、运维、培训、测

评、应急处置等所需经费，相关单位应统筹纳入本单位年度预算。4结语图4:经过Base64解码后的物理路径计算机网络安全措施主要包括保护网络安全、保护应用服务安

全和保护系统安全三个方面，各个方面都要结合考虑安全防护的物

理安全、防火墙、信息安全、Web安全、媒体安全等等|21。而对网

站进行安全漏洞扫描，是保护网络安全的重要前提，必须持之以恒，

只有通过定时对网站进行漏洞扫描，才能及时发现漏洞、修复漏洞，

保障网站的安全运行。网络安全无小事，必须时刻警惕。参考文献[1] 刘磊.计算机网络安全中防火墙技术研究[J].无线互联科技，

2018, 15 (22): 34-35.图5:网站存在跨站脚本攻击漏洞露、Apache

Shiro反序列化漏洞、远程执彳r代码漏洞、

Weblogic远程代码执行漏洞、弱口令、[2] 丁春燕.网络社会法律规制论[M].中国政法大学出版社，

2016 (09).联直越权i編洞、Windows

丁〇卩1?远程执行代码漏洞、511*1^2-061漏洞等等。每次发现新的漏

洞，差不多都有•个从恐慌不知所措、N上查攻略如何修复、动手

实践的过程，而丨1通过发现新的漏洞，足对我们技术丨fl队和漏洞存

在单位的一次学习提高过程。在干中学、学中干，网站安全防护无

小事，切不可大意。3. 2有效提升防火墙的隔离作用作者简介孙海波（ 1979-)，男，河北省怀来县人。学士学位，现为国家广

播电视总局广播电视科学研究院工程师。研究方向为网络安全及通

信技术应用。梁文琴（ 1979-),女，河北省怀来县人。大学本科学历，现为北

京市延庆区体育运动学校教师。研究方向为地理学、心理学、社会

工程学。241

本文标签： 漏洞网站扫描进行工作