Fortify Software軟件公司對此發表的一篇新的報告顯示，bots(僵尸電腦)和類似Google的搜索引擎已經成為Web應用程序攻擊者不可缺少的工具。這篇報告還顯示，攻擊者的手段更高級了而且更難跟蹤了。
從今年1月初至6月底，位于加州Palo Alto的安全軟件廠商Fortify Software軟件公司收集了使用其應用程序防御產品的企業IT環境中的數據。該公司的產品能夠保證基于J2EE的應用程序的安全。這個最終結果的報告概括地介紹了四個趨勢:
·針對Web應用程序實施的攻擊有一半利用Bots。
·攻擊者使用Google和其它搜索引擎發現Web應用程序的漏洞。
·直接的攻擊越來越高級了。
·攻擊者在全球各地實施攻擊，更容易掩蓋其蹤跡。
Bots對Web應用程序發起攻擊
在過去的6個月里，50%至70%針對Web應用程序的攻擊是由Bots發動的。Bot網絡搜索已知的安全漏洞。
這篇報告稱，這些自動的探測活動找出應用程序中沒有保護的或者沒有使用補丁的組件，然后成功地發出它們的惡意代碼。這個效果就像暴風雨襲擊一片大地:這種探測活動在整個互聯網上進行，不停地攻擊Web應用程序。
例如，僅在一個星期里，Fortify監視到了應用程序遭到了來自不同的IP地址發動的7種不同類型的攻擊，這些攻擊產生了52次要訪問.php文件的結果。這篇報告稱，考慮到攻擊的頻繁程度和內容，這些攻擊很可能是被蠕蟲感染的計算機發動的。這些被蠕蟲感染的計算機定期發動這種自動攻擊。
Fortify首席科學家Brian Chess表示，他最驚奇的是發現這些bots為了掩蓋其攻擊制造了多少無用的數據。如果你是一位IT管理員的話，這個bot正在發出許多掩蓋其真正活動的數據。在你觀察這些無用的數據一段時間之后，你會感到厭煩并且走開。你也許不會發現真正的破壞活動。
壞蛋還使用Google
這篇報告稱，在Fortify監視的全部安全事件中，有20%的安全事件是由于攻擊者訪問了Google等搜索引擎中存儲的網站安全漏洞的信息的結果。因為搜索引擎收集了它們索引的每一個網站的豐富的信息。如果一個網站意外暴露了敏感的信息或者暴露了存在的安全漏洞，那么，Google為這個網站制作索引的時候就會包含這些安全漏洞的證據。
例如，如果一個網頁被攻破，一個Web應用程序也許會報告類似堆棧跟蹤的診斷信息。網絡竊賊能夠利用那個信息描繪出一個有安全漏洞的應用程序的組件和內部結構，然后對這個目標實施攻擊。
Chess說，令那些使用我們產品的人們最感到意外的是Google等搜索引擎暴露的他們網站錯誤的數量。當Google等搜索引擎對這些信息做索引的時候，攻擊者能夠從Google中發現你，就像好人從Google中找到你一樣。
攻擊更高級更普遍
針對具體應用程序實施的攻擊似乎不太頻繁了。但是，Fortify發現，這些攻擊更高級了，對被攻擊的網站來說危險性更大了。在直接的攻擊中最常用的攻擊技術是跨網站腳本、SQL注入和緩存溢出。
Fortify的研究報告還顯示，這些攻擊來自于美國、中國、波蘭、澳大利亞和其它許多國家。攻擊者繼續使用匿名技術和代理服務器掩蓋對Web應用程序實施攻擊的真實位置，反應了他們“隱身”的性質。
這篇報告稱，這些壞蛋還有許多種技術來掩蓋其蹤跡，如隱藏在代理服務器后面或者隱藏在一連串的代理服務器的后面。
這篇報告稱，人們一直在開發各種匿名技術，以便很難確定一個互聯網連接的來源。從好的方面說，這種技術可防止政府對政治反對派的鎮壓。從壞的方面說，惡意黑客可以利用這些技術攻擊其它計算機而不被抓到。
Chess說，Web應用程序的攻擊大多數來自于美國。但是，他補充說，我們真的不知道這些攻擊者實際上在什么地方。
