2013 年 中国网站安全报告 2014 年 1 月 1 日 摘 要  国内网站安全性令人担忧：65.5%的网站存在安全漏洞，其中，29.2%的网站存在高危 安全漏洞；8.7%的网站遭到篡改，33.7%的网站被植入了后门。  平均每天有 3500 多家网站遭到 35 万次的各类漏洞攻击；每天有超过 600 余家网站遭到 1180 多万次的流量攻击。政府网站是漏洞攻击的首要目标，而企业网站则是流量攻击 的首要目标。  跨站脚本漏洞和 SQL 注入漏洞这两类高危安全漏洞仍然是占比最高的网站安全漏洞， 二者之和超过网站所有漏洞检出总次数的一半。  截至 2013 年 12 月，360 网站安全检测共截获各类后门文件样本 8838 个（去重） 。其中， 控制类木马占比超过 80%，DDoS 脚本约为 17%。在控制类木马中，多功能木马占比接 近后门总数的 50%。  国内网站修复高危漏洞的平均周期约为 71 天。供应商不积极，缺乏统一的补丁推送机 制，只对商业用户推送补丁，以及网站开发者的定制开发等，都是导致网站高危漏洞修 复周期过长的主要原因。  政府网站和教育网站的安全性建设在过去一年中有了长足的进步，网站高危漏洞检出率 分别为 24%和 23%，在各类网站中处于中等水平。而这两类网站在 2012 年的安全性横 向比较中还处于排名垫底的位置。不过，政府网站和教育网站被植入后门的比例仍然大 大高于平均水平，分别为 51%和 46%。政府和教育网站的安全性问题尚未得到彻底的 解决。此外，政府网站还是漏洞攻击的首要目标。  广东是发起漏洞攻击的 IP 最多的地区，而北京则是黑客密度最大的地区。从一周统计 来看，每周四是漏洞攻击的高发期，周日则是流量攻击的高发期。从一天 24 小时来看， 21 点至凌晨 2 点是漏洞攻击最多的时段，而流量攻击则呈现出上午低下午高的整体趋 势。  2013 年，库带计划共收到 406 名“白帽子”提交的 2552 份 0day 漏洞报告。共有 89 人 提交的 1001 个 0day 漏洞被库带计划收录。库带计划 2013 年已累计发放奖金 552350 元。其中，累计获得奖金最多的白帽子是“合肥滨湖虎子”。这位白帽子已经累计提交 了各类 0day 漏洞 226 个，累计获得奖金 107450 元。 关键词：漏洞、篡改、后门、流量攻击、CC、DDoS 目 录 第一章 网站漏洞分析 .................................................................................................................... 1 一、 网站高危漏洞数据统计..................................................................................................... 1 二、 网站漏洞统计特征分析..................................................................................................... 2 三、 高危漏洞平均修复周期 71 天 ........................................................................................... 3 第二章 网站篡改与后门 ................................................................................................................ 5 一、 网站篡改分析 .................................................................................................................... 5 二、 网站篡改实例 .................................................................................................................... 6 三、 网站后门分析 .................................................................................................................. 11 四、 网站后门实例 .................................................................................................................. 12 第三章 网站漏洞攻击分析 .......................................................................................................... 14 一、 漏洞攻击数量统计 .......................................................................................................... 14 二、 漏洞攻击类型分析 .......................................................................................................... 15 三、 漏洞攻击地域特征 .......................................................................................................... 15 四、 漏洞攻击时域特征 .......................................................................................................... 16 五、 漏洞攻击的新特点 .......................................................................................................... 17 第四章 网站流量攻击分析 .......................................................................................................... 18 一、 流量攻击数量统计 .......................................................................................................... 18 二、 流量攻击地域特征 .......................................................................................................... 19 三、 流量攻击时域特征 .......................................................................................................... 19 四、 流量攻击的新特点 .......................................................................................................... 20 第五章 网站安全性行业分析 ...................................................................................................... 23 一、 行业安全性分析 .............................................................................................................. 23 二、 行业攻击拦截分析 .......................................................................................................... 24 第六章 库带计划年度总结 .......................................................................................................... 26 一、 库带计划简介 .................................................................................................................. 26 二、 漏洞收录情况 .................................................................................................................. 26 三、 奖金发放与白帽子 .......................................................................................................... 27 四、 库带计划为各厂商提供的奖金总数 .......................................................