根據(jù)綠盟科技發(fā)布的《漏洞發(fā)展趨勢(shì)報(bào)告》顯示，由于攻擊門(mén)檻低，十年以上高齡漏洞在攻擊事件中仍然被攻擊者大量使用。

攻擊事件使用到的漏洞"年齡"分布圖

十年以上“高齡漏洞”無(wú)法退休背后，是大量長(zhǎng)期未更新的軟件和系統(tǒng)

攻擊事件中使用的漏洞和具體的操作系統(tǒng)環(huán)境相關(guān)，如物理隔離環(huán)境下的內(nèi)網(wǎng)，就可能存在沒(méi)有及時(shí)更新補(bǔ)丁或版本的核心系統(tǒng)、數(shù)據(jù)庫(kù)，攻擊者一旦進(jìn)入內(nèi)網(wǎng)就可以利用這些成熟的漏洞利用代碼發(fā)起有效的攻擊。總體來(lái)說(shuō)隨著時(shí)間的推移，老的漏洞會(huì)不斷被修補(bǔ)，新的漏洞不斷產(chǎn)生，攻防之間的對(duì)抗將會(huì)一直持續(xù)。

一年65+萬(wàn)次攻擊，不死的EternalBlue（永恒之藍(lán)）

漏洞利用是攻擊的常用手段，通過(guò)對(duì)漏洞攻擊事件的監(jiān)測(cè)可以掌握攻擊者的技術(shù)特點(diǎn)、行為習(xí)慣，進(jìn)而可以對(duì)攻擊者進(jìn)行行為畫(huà)像，為漏洞預(yù)警提供幫助。2017年4月ShadowBrokers發(fā)布了針對(duì)Windows操作系統(tǒng)以及其它服務(wù)器系統(tǒng)軟件的多個(gè)高危漏洞利用工具。同年5月，EternalBlue工具被WannaCry勒索軟件蠕蟲(chóng)利用，在全球范圍大爆發(fā)，影響了包括中國(guó)在內(nèi)的多個(gè)國(guó)家。EternalBlue相關(guān)的漏洞主要有CVE-2017-0144、CVE-2017-0145以及CVE-2017-0147，對(duì)應(yīng)Microsoft的安全公告MS17-010。

根據(jù)綠盟威脅情報(bào)中心監(jiān)測(cè)數(shù)據(jù)顯示，利用CVE-2017-0144的攻擊事件共計(jì)4919441次，利用CVE-2017-0145的攻擊事件共計(jì)27276次，利用CVE-2017-0147的攻擊事件共計(jì)1567618次。可以看到在2019年中，利用這些漏洞的網(wǎng)絡(luò)攻擊持續(xù)活躍在真實(shí)網(wǎng)絡(luò)中。

利用EternalBlue漏洞的攻擊事件

讓安全漏洞可控，全生命周期視角下的蠕蟲(chóng)級(jí)RDP漏洞—CVE-2019-0708

2019年5月，Microsoft在當(dāng)月的安全更新中，對(duì)一個(gè)新的RDP漏洞CVE-2019-0708發(fā)布了警告，該漏洞可以被用作蠕蟲(chóng)攻擊，8月又披露了兩個(gè)類(lèi)似可用作蠕蟲(chóng)的漏洞CVE-2019-1181/1182。隨后的9月針對(duì)CVE-2019-0708的可利用攻擊腳本被公開(kāi)。截止2020年3月，綠盟威脅情報(bào)中心監(jiān)測(cè)到相關(guān)攻擊事件87211次。

利用CVE-2019-0708漏洞的攻擊事件

在漏洞剛披露的5月份，漏洞的時(shí)效性強(qiáng)，并非所有用戶(hù)都及時(shí)修復(fù)，漏洞利用價(jià)值高，攻擊組織在網(wǎng)絡(luò)中發(fā)起攻擊，攻擊事件出現(xiàn)了短暫的峰值。7月份漏洞利用的代碼被公開(kāi)，更多黑產(chǎn)、腳本小子等攻擊者開(kāi)始使用，攻擊事件再次呈現(xiàn)快速增長(zhǎng)的趨勢(shì)。隨著攻擊事件的持續(xù)發(fā)生，越來(lái)越多的用戶(hù)開(kāi)始更新補(bǔ)丁、修復(fù)漏洞，針對(duì)該漏洞的攻擊事件逐漸下降。

攻擊者關(guān)注穩(wěn)定、高效的漏洞利用技術(shù)

攻擊者關(guān)注穩(wěn)定、高效的漏洞利用技術(shù)，在漏洞的選擇上追求易用性、時(shí)效性以及是否能獲取目標(biāo)控制權(quán)限的攻擊能力。根據(jù)綠盟威脅情報(bào)中心監(jiān)測(cè)的安全事件，本文整理出了2019年1月-2020年3月與漏洞利用相關(guān)的攻擊事件，提取了漏洞利用較高的十個(gè)漏洞信息。

漏洞利用較高的CVE信息

瀏覽器漏洞利用占比48.44%，瀏覽器的更新與防護(hù)仍需關(guān)注

瀏覽器作為網(wǎng)絡(luò)攻擊的入口，在實(shí)際利用中占比48.44%，影響范圍廣。瀏覽器的漏洞種類(lèi)復(fù)雜多樣，2009年之前漏洞主要以ActiveX控件和基于棧的緩沖區(qū)溢出為主，2013年越界訪(fǎng)問(wèn)、釋放后重用等新型漏洞一度呈現(xiàn)快速增長(zhǎng)的趨勢(shì)。近年來(lái)，各大瀏覽器為了提高網(wǎng)頁(yè)的加載和JavaScript腳本的運(yùn)行速度，大量使用了即時(shí)編譯(Just-in-time)系統(tǒng)，一時(shí)間JIT引擎成為攻擊者主要的目標(biāo)。

應(yīng)用軟件漏洞利用分布

利用文件格式漏洞的魚(yú)叉式釣魚(yú)攻擊，成為網(wǎng)絡(luò)安全的主要威脅之一

文檔類(lèi)型漏洞中，AcrobatReader為載體的PDF漏洞數(shù)量共1823個(gè)，占據(jù)文檔類(lèi)型的59.07%，但在實(shí)際攻擊場(chǎng)景中卻并不常見(jiàn)，實(shí)際利用占比1.19%。Office相關(guān)的漏洞數(shù)量雖然比PDF格式的要少，但在實(shí)際攻擊中備受黑客關(guān)注，攻擊者只需考慮版本兼容，不需過(guò)多考慮產(chǎn)品兼容，一個(gè)穩(wěn)定的漏洞利用文檔基本可以實(shí)現(xiàn)一個(gè)產(chǎn)品的全覆蓋。

Flash漏洞大限將近，但漏洞安全仍不容忽視

Flash漏洞作為曾經(jīng)的研究焦點(diǎn)，2015和2016年爆出的漏洞總數(shù)占據(jù)Flash漏洞的55.09%，在實(shí)際利用中占比13.08%。但是Flash漏洞利用不能由單純的SWF文件完成，需要在瀏覽器、Office、PDF中以插件的形式來(lái)完成攻擊。在實(shí)際攻擊中常以插件形式被嵌套在各種ExploitKit工具包，可以達(dá)到穩(wěn)定利用，更新速度快以及免殺的效果。

開(kāi)源軟件面臨漏洞利用和軟件供應(yīng)鏈的“雙重攻擊”

開(kāi)源軟件便于研究員進(jìn)行基于源代碼的白盒測(cè)試。Web類(lèi)開(kāi)源框架的利用代碼公開(kāi)后可以在短時(shí)間內(nèi)被集成到成熟的攻擊框架中，降低了漏洞利用的門(mén)檻。擁有復(fù)雜的處理邏輯，并且廣泛使用的開(kāi)源軟件更容易成為研究員或者黑客的目標(biāo)。隨著開(kāi)源軟件開(kāi)發(fā)模式的興起，針對(duì)軟件供應(yīng)鏈的攻擊成為一種新興威脅，相當(dāng)于給攻擊者的惡意代碼披上了“合法”的外衣，傳播速度更快，影響范圍更廣，危害更大，同時(shí)也更隱蔽。

一年上漲1082%，移動(dòng)安全的風(fēng)暴從未停息

近些年來(lái)研究人員對(duì)智能終端系統(tǒng)的漏洞關(guān)注度逐漸提高，2015年Android系統(tǒng)漏洞整體呈現(xiàn)爆發(fā)式增長(zhǎng)。其中，Application Framework & Libraries的漏洞總量達(dá)130個(gè)，同比上漲1082%。2018年8月Google發(fā)布的Android 9中，為部分守護(hù)進(jìn)程和內(nèi)核引入了控制流完整性CFI(Control Flow Integrity)防護(hù)機(jī)制，能夠直接對(duì)抗常用ROP/JOP/COOP代碼重用利用技巧。新的保護(hù)機(jī)制的引入和Google對(duì)Android系統(tǒng)安全逐漸重視使得2017年后漏洞數(shù)量顯著減少。

iOS系統(tǒng)由于硬件與軟件高度集成，一向以安全著稱(chēng)。2015年iOS系統(tǒng)漏洞總量達(dá)369個(gè)，同比上漲156.25%。2019年8月Google安全團(tuán)隊(duì)公布了5個(gè)漏洞利用鏈及相關(guān)聯(lián)的14個(gè)安全漏洞 ，涉及從 iOS 10 到 iOS 12的版本，這無(wú)疑為其它攻擊者提供了一個(gè)很好的著手點(diǎn)，對(duì)iOS系統(tǒng)的安全性提出了巨大的挑戰(zhàn)。 

Android歷年漏洞數(shù)量

iOS系統(tǒng)歷年漏洞數(shù)量

物聯(lián)網(wǎng)成“�！甭�(lián)網(wǎng)

物聯(lián)網(wǎng)設(shè)備數(shù)量和種類(lèi)增長(zhǎng)迅速，但是防御措施少。下表給出了2019年物聯(lián)網(wǎng)漏洞利用數(shù)量前十的漏洞信息。

物聯(lián)網(wǎng)漏洞利用數(shù)量Top10

其中CVE-2015-2051、CVE-2017-17215、CVE-2014-8361這三個(gè)漏洞都與UPnP協(xié)議有關(guān)。UPnP使用SOAP協(xié)議實(shí)現(xiàn)對(duì)設(shè)備的控制。綠盟科技《2019年物聯(lián)網(wǎng)安全年報(bào)》顯示，SOAP服務(wù)可訪(fǎng)問(wèn)的設(shè)備占UPnP設(shè)備總量的46.9%，這些設(shè)備中，61%的設(shè)備存在中危及以上的漏洞。

已經(jīng)監(jiān)測(cè)的漏洞利用所對(duì)應(yīng)目標(biāo)設(shè)備以路由器和視頻監(jiān)控設(shè)備為主。這些安全問(wèn)題主要來(lái)源于兩點(diǎn)，一是由于大多數(shù)的固件在出廠(chǎng)時(shí)就存在弱口令、甚至無(wú)需口令校驗(yàn)的問(wèn)題，這種不安全的固件配置大大提高了攻擊者的攻擊效率。二是固件所調(diào)用的第三方組件漏洞甚至是操作系統(tǒng)內(nèi)核漏洞，不能夠及時(shí)追蹤修復(fù)。

網(wǎng)絡(luò)安全的本質(zhì)是攻與防的對(duì)抗，未知攻焉知防，只有在了解了各種攻擊技術(shù)和手段后才能采取更加有效的防御策略，從而避免安全事件的發(fā)生。