近日，Imperva 公司發(fā)布了九月黑客諜報(bào)步履陳述――《PHP SuperGlobals：超等堅(jiān)苦》(PHPSuperGlobals: Supersized Trouble)，對(duì)近期針對(duì)PHP利用倡議的報(bào)復(fù)打擊進(jìn)行了深進(jìn)闡發(fā)，包含觸及PHP “SuperGlobal”參數(shù)的報(bào)復(fù)打擊，并進(jìn)一步闡發(fā)了報(bào)復(fù)打擊勾當(dāng)?shù)囊话闾攸c(diǎn)和萬維網(wǎng)整體完全性的意義。
Imperva公司首席手藝官Amichai Shulman暗示：“遭到報(bào)復(fù)打擊的主機(jī)可被用作僵尸奴隸來報(bào)復(fù)打擊其他辦事器，是以針對(duì)PHP利用倡議的報(bào)復(fù)打擊可能會(huì)影響到全部收集的安然與健康。這些報(bào)復(fù)打擊將產(chǎn)生很是嚴(yán)重的后果，因?yàn)镻HP平臺(tái)是最常常利用的收集利用開辟平臺(tái)，為80%以上的網(wǎng)站供給撐持，此中包含F(xiàn)acebook和維基百科。很明顯，此刻安然社區(qū)必需更多地存眷這個(gè)標(biāo)題問題?！?/P>
該陳述還發(fā)現(xiàn)，黑客將高級(jí)報(bào)復(fù)打擊手藝暢通領(lǐng)悟于簡(jiǎn)單腳本的能力日趨增加。同時(shí)，陳述覺得，PHP SuperGlobals可以或許為報(bào)復(fù)打擊帶來高投資回報(bào)，是以成為黑客報(bào)復(fù)打擊的首要方針。
PHP SuperGlobal參數(shù)在黑客社區(qū)日趨遭到歡迎，因?yàn)樗鼈兛梢詫⒍鄠€(gè)安然標(biāo)題問題整合于統(tǒng)一個(gè)高級(jí)收集威脅，從而粉碎利用邏輯、侵害辦事器，造成訛詐生意和數(shù)據(jù)盜竊。Imperva研究團(tuán)隊(duì)寄望到，在一個(gè)月的時(shí)候里，每項(xiàng)利用平均蒙受144次包含SuperGlobal參數(shù)報(bào)復(fù)打擊路徑的報(bào)復(fù)打擊。別的，研究者還發(fā)現(xiàn)報(bào)復(fù)打擊勾當(dāng)可延續(xù)五個(gè)月以上，在要求岑嶺期，每項(xiàng)利用每分鐘將蒙受多達(dá)90次報(bào)復(fù)打擊。
該陳述的要點(diǎn)與建議包含：
· 如密鑰透露于第三方根本舉措措施，則需要采取“撤退”型安然模式：該陳述發(fā)現(xiàn)，獲得遍及利用的PhpMyAdmin(PMA)東西存在虧弱環(huán)節(jié)，該東西用于在PHP環(huán)境下治理MySQL數(shù)據(jù)庫(kù)。因?yàn)樵摉|西常常與利用 MySQL數(shù)據(jù)庫(kù)的其他利用綁定在一路，是以它的虧弱環(huán)節(jié)會(huì)使辦事器遭到影響，即便治理員并未利用該東西，辦事器也會(huì)遭到代碼履行報(bào)復(fù)打擊，導(dǎo)致全部辦事器被領(lǐng)受。為解決這個(gè)標(biāo)題問題，建議采取 “撤退”型安然模式。
· 最好采取積極安然模式：積極安然機(jī)制為各個(gè)資本劃定了可利用的參數(shù)名稱，只有這類模式才能避免報(bào)復(fù)打擊者操縱外部變量把持虧弱環(huán)節(jié)，這類報(bào)復(fù)打擊使所有人都能利用不異的內(nèi)部變量名稱發(fā)送外部參數(shù)，從而籠蓋本來的內(nèi)部變量值。
· 黑客的手藝日漸高超：Imperva研究者發(fā)現(xiàn)，報(bào)復(fù)打擊者可以或許倡議復(fù)雜報(bào)復(fù)打擊，并將其整合為簡(jiǎn)單易用的東西。不外，在表示出強(qiáng)大年夜報(bào)復(fù)打擊能力的同時(shí)，PHP報(bào)復(fù)打擊法也存在缺點(diǎn)。一種可以或許探測(cè)并消弭某個(gè)報(bào)復(fù)打擊階段的利用安然解決方案能使全部報(bào)復(fù)打擊無功而返。
· 應(yīng)樊籬要求中的SuperGlobal參數(shù)：這些參數(shù)沒有任何來由呈此刻要求當(dāng)中;是以應(yīng)被避免。