安全公司 Imperva Cloud WAF 保護(hù)了全球超過10萬個(gè)網(wǎng)站，并且每天觀察到大約10億次攻擊。他們每天都會(huì)檢測(cè)到成千上萬種黑客工具，并采取各種措施來阻止惡意請(qǐng)求。在本文中，研究人員將分享有關(guān)研究人員在2019年觀察到的最危險(xiǎn)工具和攻擊的信息。
研究人員使用先進(jìn)的智能客戶端分類機(jī)制對(duì)各種Web客戶端進(jìn)行分類，為了確定黑客最常用的工具，研究人員查看了2019年期間發(fā)現(xiàn)的所有攻擊，并將它們歸類為安全事件。通過對(duì)數(shù)據(jù)進(jìn)行聚類，研究人員能夠減少大型攻擊造成的偏差，而不是專注于對(duì)多個(gè)站點(diǎn)的不同攻擊。
值得注意的是，隨著Google Go語言的興起，流行的編碼語言Python仍然是大多數(shù)黑客的首選武器。
接下來研究人員可以看到WinHttp庫，主要由運(yùn)行在Windows上的.net和CPP使用，然后是Shell工具，如cURL、wget等，其余的頂級(jí)工具更多。
編程語言和瀏覽器，研究人員將提供更多關(guān)于頂級(jí)工具的有趣統(tǒng)計(jì)數(shù)據(jù)，如攻擊類型和來源國家分布。研究人員還將介紹了一些頂級(jí)工具，最后給出一些建議，告訴你如何保護(hù)你的網(wǎng)站不受這些工具的影響。
統(tǒng)計(jì)數(shù)據(jù)分析
研究人員決定查看一些GitHub的統(tǒng)計(jì)數(shù)據(jù)，以了解哪些語言使用得最多。根據(jù)GitHut 2.0, Python和Go位列2019年五大語言之列。
為此，研究人員決定重點(diǎn)關(guān)注GitHub中的網(wǎng)絡(luò)安全項(xiàng)目，假設(shè)大多數(shù)攻擊工具都標(biāo)有此類標(biāo)簽。 GitHub并未對(duì)每個(gè)存儲(chǔ)庫進(jìn)行分類，但是GitHub中的安全主題包含超過8500個(gè)與安全相關(guān)的存儲(chǔ)庫，這是一個(gè)相當(dāng)大的示例。
看看這些庫中使用的前五種語言，研究人員可以看到Python排在第一位，遙遙領(lǐng)先，然后是Java、JavaScrIPt、PHP，最后是Go。看到主要的web語言(如PHP和JavaScrIPt)或使用廣泛的語言(如Python和Java)在列表中名列前茅，這并不奇怪。但是Go在2019年成為了榜首，更有趣的是，它取代了基于shell的代碼。
將GitHub的統(tǒng)計(jì)數(shù)據(jù)與Stack Overflow趨勢(shì)進(jìn)行比較時(shí)，研究人員得到了類似的情況。很難解釋為什么關(guān)于Go的漏洞沒有來自Go存儲(chǔ)庫的拉取請(qǐng)求那么多。一個(gè)令人驚訝的統(tǒng)計(jì)數(shù)據(jù)是Python的使用量迅速而急劇的上升，平均每年增長13%，在十年內(nèi)幾乎翻了兩番。
Cloud WAF統(tǒng)計(jì)信息
為了了解這些工具在研究人員保護(hù)的網(wǎng)站上攻擊的傳播情況，研究人員創(chuàng)建了一個(gè)圖表，顯示2019年每種工具攻擊的網(wǎng)站百分比。研究人員觀察到的工具在事件數(shù)量和被攻擊站點(diǎn)的百分比方面都處于領(lǐng)先地位。大多數(shù)站點(diǎn)每個(gè)月都會(huì)受到Python的攻擊，而30%-50%的站點(diǎn)會(huì)受到其他工具的攻擊。
為此，研究人員決定觀察兩種最流行、變種最多的攻擊——XSS和SQLi，以及通過Go和Python使用這些攻擊的嘗試。
值得注意的是，到2019年底，Go在兩種攻擊中都趕上了Python。雖然現(xiàn)在判斷這一趨勢(shì)是否會(huì)持續(xù)還為時(shí)過早，但很容易看出，到2019年底Go已經(jīng)變得更加流行。
研究人員想檢查一下觀察到的每種主要攻擊類型的工具分布情況：
如你所見，Python在RCE/RFI、文件上傳和數(shù)據(jù)泄漏方面是最強(qiáng)的工具，而Go在常規(guī)自動(dòng)攻擊中更強(qiáng)大。
讓我們根據(jù)來源IP查看工具使用情況的國家/地區(qū)分布圖：
中國使用Python的方式比其他任何國家都多，而印度選擇Go作為其首選工具。很難說為什么，但是鑒于這些國家/地區(qū)的網(wǎng)絡(luò)活動(dòng)知名度很高，因此新加入這個(gè)市場(chǎng)的黑客可能選擇了現(xiàn)代工具進(jìn)行他們的邪惡活動(dòng)。
根據(jù)IP來判斷攻擊數(shù)量
令人驚訝的是，使用該工具進(jìn)行攻擊的IP數(shù)量與該工具引發(fā)的安全事件數(shù)量之間并沒有很強(qiáng)的相關(guān)性。這可以部分地由這些工具所涉及的攻擊類型來解釋。復(fù)雜的，自動(dòng)的攻擊往往可以協(xié)調(diào)進(jìn)行，即大規(guī)模大規(guī)模攻擊。
通過觀察事件與IP之間的比率，可以進(jìn)一步驗(yàn)證該假設(shè)。請(qǐng)求率低的工具(可以很容易地用于瀏覽器模擬)具有非常低的事件IP比率。相比之下，能夠輕易生成大規(guī)模攻擊的工具(如Go和Python)的IP發(fā)生率要高得多。
讓我們來看看位和字節(jié)：
最受歡迎的Python庫是請(qǐng)求，Urllib和異步IO
異步IO庫的使用自去年以來已經(jīng)增長，但它仍然排在最后。然而，由于它在用Python編寫異步程序時(shí)所具有的強(qiáng)大功能，研究人員希望在將來看到更多的增長。
研究人員決定檢查一些通常被黑客工具利用的CVE：
首先，大約有700萬個(gè)HTTP請(qǐng)求是（CVE-2017-9841），這是PHPUnit中的一個(gè)遠(yuǎn)程命令執(zhí)行漏洞，PHPUnit是一個(gè)廣泛使用的PHP測(cè)試框架。深入了解其歷史時(shí)，似乎CVE已于2017年6月發(fā)布，而修復(fù)程序已于2016年11月11日提交。
在2019年9月4日，Drupal發(fā)布了關(guān)于Mailchimp中一個(gè)漏洞的公共服務(wù)公告（PSA-2019-09-04），該漏洞使用PHPUnit作為第三方庫。此外，2020年1月7日，PrestaShop（用PHP編寫的電子商務(wù)解決方案）發(fā)布了一個(gè)安全公告，內(nèi)容涉及名為XsamXadoo Bot的惡意軟件正在利用的PHPUnit漏洞。這些公告使CVE復(fù)活，在Twitter上引發(fā)了炒作，在該處發(fā)布了許多與該漏洞有關(guān)的帖子。此外，漏洞數(shù)據(jù)庫（如VulnDB）也更新了與此CVE相關(guān)的記錄并添加了新鏈接-例如，2017年在博客中寫回的POC，只能通過回溯設(shè)備獲得。當(dāng)研究人員檢查數(shù)據(jù)時(shí)，嘗試找到Go-lang攻擊工具使用的流行CVE，研究人員發(fā)現(xiàn)，最流行的一個(gè)CVE實(shí)際上是一組CVE（CVE-2016- 5385，CVE-2016-5386，CVE-2016-5387，CVE-2016-5388，CVE-2016-1000109和CVE-2016-1000110）。所有這些CVE與HTTP_PROXY環(huán)境變量中的漏洞（稱為“ httpoxy”）有關(guān)。
在CGI或類似CGI的上下文中運(yùn)行的Web服務(wù)器可以將客戶端請(qǐng)求代理標(biāo)頭值分配給內(nèi)部HTTP_PROXY環(huán)境變量，可以利用此漏洞對(duì)內(nèi)部子請(qǐng)求進(jìn)行中間人（MITM）攻擊或指導(dǎo)服務(wù)器啟動(dòng)與任意主機(jī)的連接。
讓研究人員轉(zhuǎn)到cURL，這是最常見的攻擊shell工具。有一個(gè)有趣的CVE，在Apache Struts (CVE-2016-3087)中執(zhí)行遠(yuǎn)程代碼，大約有100K個(gè)HTTP請(qǐng)求。Apache Struts是一個(gè)免費(fèi)的、開放源碼的模型-視圖-控制器(MVC)框架，用于創(chuàng)建優(yōu)雅的、現(xiàn)代的Java web應(yīng)用程序。當(dāng)使用REST插件時(shí)，可以執(zhí)行遠(yuǎn)程代碼!操作符在啟用動(dòng)態(tài)方法調(diào)用時(shí)使用。
緩解措施
如果你有一個(gè)客戶機(jī)分類機(jī)制，它可以像查看用戶代理那樣簡(jiǎn)單，那么這些見解將允許你輕松地抵御許多常見的攻擊。要理性對(duì)待這些工具，如果你不期望你的應(yīng)用程序或部分應(yīng)用程序被這些工具訪問，那么就阻止來自它們的請(qǐng)求。在其他情況下，你可能知道只有特定的IP應(yīng)該使用這些工具，例如執(zhí)行運(yùn)行狀況監(jiān)視的IP，你可能希望單獨(dú)限制對(duì)這些IP的訪問。
好了，就給大家介紹到這里吧，希望大家喜歡小編的分享。
