互金专委会:发现互金网站漏洞7210个 情况不甚乐观
【摘要】2018年1月2日,国家互联网金融安全技术专家委员会发布互联网金融网站漏洞分析报告。

金评媒消息 2018年1月2日,国家互联网金融安全技术专家委员会(下称“互金专委会”)发布互联网金融网站漏洞分析报告。
互金专委会表示,互联网金融是金融与互联网技术相融合的领域,信息流的安全性是互联网金融发展的基础和保障。互联网金融信息系统在运行过程中一旦发生数据泄露、盗取、篡改等事件,会使各方蒙受巨大损失,甚至影响经济和社会稳定。近期,国家互联网金融风险分析技术平台对互联网金融行业的网站漏洞情况进行了抽样分析,形成了以下报告。
1、安全漏洞概览
本次监测分析覆盖北京、深圳、浙江等省市共1529家互联网金融平台网站。按照风险的强弱等级进行统计,其中高危评级网站占比12.4%,中危评级网站占比52.5%。共发现漏洞7210个,其中高危漏洞451个,占比6.2%,中危漏洞3395个,占比47.1%,危险等级分布如下图所示。
2、高危漏洞分布情况
高危级别的安全漏洞危害程度高,反映了迫切需要解决的安全问题。下图展示了出现最多的10种高危漏洞的分布情况,排名前三的是跨站脚本、PHP版本官方不提供安全补丁和SQL注入。
跨站脚本漏洞在每年的OWASP TOP10中一直名列前茅,可被用于进行窃取隐私、钓鱼欺骗、偷取密码、传播恶意代码等攻击行为。恶意的攻击者将对客户端有危害的代码放到服务器上作为一个网页内容, 使得用户在浏览此网页时,这些代码注入到用户的浏览器中执行,使用户受到攻击。一般而言,利用跨站脚本攻击,攻击者可窃取会话COOKIE从而窃取网站用户的密码等隐私数据。
对于SQL注入漏洞,攻击者可在易受攻击的系统上执行任意SQL语句,损害数据库的完整性和暴露敏感信息。根据使用中的后端数据库,SQL注入漏洞导致攻击者不同级别的数据和系统访问。不仅可以操作现有查询,还可以在任意数据中联合,使用子选择或附加查询。在某些情况下,可以读取或写入文件,或者在底层操作系统上执行shell命令。
3、安全漏洞总体分布情况
通常来说,与高危漏洞相比,中低危漏洞在实际运行环境中的危害相对较小,但仍能在一定程度上反映出系统质量、开发人员对安全问题的重视程度等。为了更全面的了解互联网金融行业的安全状况,下图展示了包括中低危漏洞在内的所有级别安全漏洞TOP20的分布情况。
经统计,点击劫持漏洞占整个web漏洞数量约8.5%,用户在不知情的情况下被伪装的按钮挟持,极易诱发财产流失。其它例如弱算法漏洞,一定条件下,密文可以被破解得到明文,通过拦截正常的网络通信数据,并进行数据篡改和嗅探。如果用户登录存在该漏洞网站或使用相关软件,用户的信息和提交的数据请求可能被篡改或泄漏。对于用户凭证明文发送漏洞,用户传输的账号、密文或者身份验证码未加密传输,通过拦截正常的网络通信数据,并进行数据篡改和嗅探,可直接获取,导致信息泄漏和账号密码被盗。
4、总结
从抽样监测分析的结果来看,目前互联网金融行业的网络安全情况不甚乐观,存在的风险较高,部分企业的安全防护意识和投入不足,对安全漏洞可能带来的风险认识不到位。建议各企业切实加强安全防护意识和防护水平,建立健全信息安全管理体系,完善安全保障措施,定期开展网络信息安全风险评估,预警和防范内外部风险。
(编辑:杨少康)
来源: 金评媒

企业新闻



- 情报 | 极氪将择机完成上市;圆通拟收购网络小贷牌照;美团严抓考勤
- 情报 | 阿里迎来史上最大调整;货拉拉于港交所提交上市申请;特斯拉新款Model S/X开启中国市场交付
- 情报 | 京东进军餐饮外卖业务;法拉第未来计划2025年在国内开设工厂;百度90后程序员删改数据库被判刑
- 情报 | 小米自研芯片将在今明两年亮相;阿里云「通义千问」已完成备案工作;特斯拉新款Model3或9月1日上市
- 情报 | 京东将对10%高管进行末尾淘汰;天然乳品遭港交所除牌;小熊U租母公司凌雄科技挂牌港交所
- 情报 | 苏宁易购回应被申请破产;美联英语陷入破产风波;罗永浩创业公司细红线完成天使轮融资
- 红岭创投周世平等18人被立案移送深圳中院
- 情报 | 港交所考虑降低大型科技公司上市门槛;雷军卸任小米电子软件董事长;今年有3400多家芯片公司消失
- 情报 | 恒大集团负债超2.4万亿;拼多多旗下Temu起诉Shein;新东方旗下公司非法出版教材被罚
- 情报 | 恒驰5将于7月开启预售;商汤科技暴跌超40%;B站小视频App“轻视频”今日正式停运