武汉大学珞珈山水BBS论坛

武汉大学bbs,武汉大学论坛,武汉大学网站,武汉大学bbs论坛,武大bbs,珞珈山水,珞珈山水bbs,武大论坛,洛加山水,加洛山水

[回到开始] [上一篇][下一篇]


发信人: colormango (芒果), 信区: C.S
标  题: 在腾讯做应用安全(二)
发信站: BBS 珞珈山水站 (Fri Dec 28 20:08:38 2007)

在12月26日凌晨,有人利用了百度空间的模板漏洞,专门制作了一个能够自我复制和传播的
空间蠕虫,在短短的时间内,就有数千用户的空间受到了感染。百度官方的公告(可以在这
里看到:
http://hi.baidu.com/%B0%D9%B6%C8%BF%D5%BC%E4/blog/item/0e3433fa69eeb61aa8d3110f.
html)说,这个蠕虫含有恶意代码,并传播垃圾消息,百度已经紧急对此漏洞进行了处理,
云云。

对于一个互联网公司来说,这个是典型的安全事件。百度的安民公告写得很专业;不过在温
情脉脉的公告背后,我想一定是公关部门、安全部门、开发部门等多个部门的联动,紧张对
应对这个可能给他们带来大麻烦的事件。在腾讯,我们有时候也会面对这样的安全事件。

百度空间所谓的模板漏洞,用专业的术语来说,叫做“跨站脚本注入漏洞”。简单地说,就
是用户输入的内容里面包含了网页脚本代码(这对于任何应用来说都不应该允许的,因为它
会使得这个网页的行为失去控制,所以必须要执行过滤才能保存到服务器上),而百度的过
滤算法出现了漏洞,被别人绕过去了。蠕虫的作者据说是一个叫“剑心”的人,我想他大概
是和我们同龄,甚至更小,放这个蠕虫出来,有点“好玩”的意味(参考他的博客
http://www.loveshell.net/blog/blogview.asp?logID=283)。


其实网络上很多基于Web的应用都存在这种漏洞----他们的开发也不是不知道----实在是太
普遍了,出现蠕虫只是迟早的事情。也许很多人会奇怪,既然他们知道有问题,为什么不一
下子都改掉呢?这里面也许有很多原因;但是我想很重要的一个是:因为它们从来没有出过
大事情遭受到大麻烦,所以他们就拖着不动它。以我的经验为例:我们在工作中发现不少可
能导致服务器被黑掉的WEB漏洞,报告给负责开发的人之后,他们也许会马上修改,也许会
跟你扯一下皮(怎么也不相信自己的程序有问题),也许会有这样那样的理由推诿--总的来
说,修改程序会增加额外的工作量,但既然这个程序在上面跑了数月甚至数年也没有发生什
么事,可见改不改迟点改与早点改并没有太大的关系,我们眼下还有更多重要的事情要忙呢
。往往是,安全人员的殷勤并没有受到多大的重视。但是一旦外界爆出了一点什么事情,那
就不同了。比如说,有一个CGI程序没有过滤一些敏感的关键词,你输入什么就显示什么,
就技术的角度来说是没有任何的安全威胁的。但经过媒体一曝光,就变成了一个紧急而且重
要的事情,开发得赶紧修改程序,即使停掉业务也在所不惜,公关部得随时准备应对,上头
也会很关注,闹不好一干人士还可能被罚钱。从这里也可以看出,对于所谓的用户价值,一
个公司所真正关注的,和他们所声称的,实际上有着微妙的差别的。有时候我们在做推动工
作的时候,就不得不借助一两次这样的事件,趁着“上头非常关注”的东风,把安全策略和
政策推到其它部门去。


在腾讯在安全有一个非常大的优势,那就是它拥有一个巨大而复杂的网络(数万台的服务器
,上百G的流量带宽),各种各样的安全威胁它都遭遇过,这对于每一个做技术的员工来说
,都是一个难得的研究与学习的条件。不过仅有技术并不能解决问题,要把企业的安全做好
,还得有政策以及领导的支持。对于每年为公司带来数亿实实在在的收入的业务部门来说,
安全部门的“贡献”实在不值一提。也无怪乎我们一直都是支持与服务的角色,做什么事情
都好像在求着他们。
※ 修改:·colormango 於 Dec 28 20:20:17 2007 修改本文·[FROM: 219.133.51.*]
※ 来源:·珞珈山水BBS站 http://bbs.whu.edu.cn·[FROM: 219.133.51.*]


[回到开始] [上一篇][下一篇]

本站是基于热心建立,如有侵权敬请致信告知

粤ICP备17011212号 szuonline.cn @8.3
深大在线 荔园在线 荔园晨风 荔园晨风BBS 荔园晨风bbs站 深大bbs 深圳大学bbs 深圳大学论坛 深圳大学内部网 szu bbs 荔园晨风地址 荔园晨风校外地址 荔园晨风登陆地址 荔园晨风登录地址 荔园晨风怎么登录 荔园晨风怎么登陆 深圳大学荔园晨风 荔园晨风登录不了吗 深大荔园晨风关了吗 荔园晨风官网 荔园晨风无法校外登陆 荔园晨风bbs登录不了 梨园晨风
生活费就像大姨妈,一个月来一次,几天就没了。