據(jù)國外媒體報道，IBM發(fā)布的年度《X-Force Trend and Risk Report》顯示，2009年軟件漏洞的數(shù)量整體上有所下降，而文件閱讀器及多媒體應(yīng)用程序的故障數(shù)量增長50%。

　　IBM的 X-Force研發(fā)小組致力于研究漏洞公告，搜集其他基于網(wǎng)絡(luò)攻擊的數(shù)據(jù)。2009年這個小組記錄了6601個漏洞，這一數(shù)量較2008年下降了近11%。

　　但IBM同時表示文件閱讀器、編輯器及多媒體應(yīng)用程序的漏洞增加了50%。IBM將這些漏洞歸為客戶端漏洞，這里面也包括那些影響瀏覽器及操作系統(tǒng)的漏洞。

　　經(jīng)過對5個最受歡迎的網(wǎng)站進行調(diào)查，其中三個網(wǎng)站涉及到PDF。攻擊者很容易的發(fā)現(xiàn)了Adobe's PDF軟件的漏洞，并通過垃圾戰(zhàn)及惡意網(wǎng)站鏈接對其發(fā)起攻擊。

　　IBM網(wǎng)絡(luò)安全系統(tǒng)部門的研究員湯姆·克羅斯(Tom Cross)認為，“可以肯定的是有一幫壞家伙在攻擊那款軟件”。

　　IBM表示，兩外兩個網(wǎng)站包含F(xiàn)lash及ActiveX控件漏洞，通過ActiveX控件可以在瀏覽器上查看MS文檔。

　　IBM表示瀏覽器最容易出現(xiàn)客戶端漏洞。2009年火狐瀏覽器出現(xiàn)高危漏洞的數(shù)量是IE的兩倍，但令人欣喜的是到2009年年底這些漏洞都得到了修補。

　　IBM指出一半多的高危漏洞只是影響到四家用戶：微軟、Adobe、火狐和蘋果。這幾家公司平均漏洞修補比例達到66%，而蘋果做的最差，僅僅為38%。

　　IBM也研究了整體修補率。 X-Force 指出RIM、GNU、思科系統(tǒng)、Adobe及惠普做的最好。到2009年底，思科未發(fā)布的高危漏洞補丁數(shù)量只占1%，而其他公司則發(fā)布全部漏洞補丁。

　　而做的最差的公司包括Linux、Oracle、Novell及IBM，其數(shù)量各占到53%、38%、31%和27%。

　　X-Force也對web應(yīng)用程序的漏洞進行了調(diào)查，這些漏洞可能會導(dǎo)致數(shù)據(jù)丟失就其他危害。

　　調(diào)查結(jié)果并不樂觀，到2009年底67%的web應(yīng)用程序漏洞沒有發(fā)布任何補丁。IBM表示跨站腳本執(zhí)行(cross-site scripting)超過SQL資料隱碼攻擊成為網(wǎng)站應(yīng)用程序第一大漏洞。

　　跨站腳本執(zhí)行是攻擊者利用網(wǎng)站程序?qū)τ脩糨斎脒^濾不足，輸入可以顯示在頁面上對其他用戶造成影響的HTML代碼，從而盜取用戶資料的一種攻擊方式。當(dāng)輸入的指令得到生效而這一指令在后臺數(shù)據(jù)庫被執(zhí)行時，SQL資料隱碼攻擊就會發(fā)生導(dǎo)致數(shù)據(jù)丟失。

　　克羅斯指出2008年IBM監(jiān)控的SQL資料隱碼攻擊數(shù)量達到每天5000次。他還說由于攻擊者利用自動搜索工具查找網(wǎng)站站點進行攻擊，這一數(shù)值已上升至每天1百萬次。

　　網(wǎng)站攻擊者通過SQL資料隱碼攻擊在網(wǎng)頁上插入HTML代碼，這會導(dǎo)致網(wǎng)頁瀏覽者進入另外一個網(wǎng)站。IBM還指出在2009年惡意網(wǎng)站鏈接的數(shù)量出現(xiàn)急劇增長。

　　盡管SQL資料隱碼攻擊的數(shù)量在2009年有所下降，但很多網(wǎng)站應(yīng)用程序都是定制的，所以與常用的網(wǎng)站應(yīng)用程序相比出的問題可能會更多。克羅斯表示，“目前鑒定并修復(fù)網(wǎng)站應(yīng)用程序漏洞比任何時候都重要�！�

　　作者：鸚英