一直以來，很多網(wǎng)站站長都有這樣的疑問：為什么用了專業(yè)的Web安全服務(wù)和“防注”程序，使用Web安全掃描器也沒有發(fā)現(xiàn)漏洞，但網(wǎng)站依然會被黑？
其實，這種情況大多來自“旁注”攻擊。也就是說，黑客攻擊同一服務(wù)器上其他存在漏洞的網(wǎng)站，并獲取服務(wù)器最高管理員權(quán)限，進而對目標(biāo)網(wǎng)站形成威脅。對此，360網(wǎng)站安全檢測近日進行了專項升級，加入“旁注”檢測功能，直觀的告訴站長自身網(wǎng)站所在服務(wù)器的整體安全情況，為站長選擇安全的主機服務(wù)商提供重要依據(jù)。
360網(wǎng)站安全檢測平臺服務(wù)網(wǎng)址：http://webscan.360.cn
據(jù)了解，“旁注”一般以虛擬主機作為攻擊對象。其原理是利用同一主機上其他站點的安全漏洞，獲取服務(wù)器上的一個Webshell（Web后門程序），從而獲取一定的服務(wù)器操作權(quán)限，進而利用虛擬目錄權(quán)限的配置不嚴格或者“提權(quán)”攻擊獲取管理員權(quán)限后，再跳轉(zhuǎn)到目標(biāo)網(wǎng)站的Web虛擬目錄中，實現(xiàn)竊取信息，篡改內(nèi)容的操作。
“‘旁注’攻擊看似曲折，卻非常有效。”360網(wǎng)站安全工程師表示。“很多站長出于省錢的考慮，從而選擇成本較低的虛擬主機服務(wù)，而提供商會在一臺或多臺服務(wù)器上為站長分配一定的硬盤與數(shù)據(jù)庫等存儲資源，不過服務(wù)器與服務(wù)都是共享的，這就造成了‘一漏百漏’的安全隱患。黑客在攻擊目標(biāo)網(wǎng)站無果時，通常會采用這種曲線方式多次嘗試。”
圖1：黑客可通過一些查詢網(wǎng)站輕易獲得目標(biāo)站點信息
那么，黑客如何得到同一主機上其他的站點信息呢？原來，目前網(wǎng)絡(luò)上存在很多通過主機IP反向查詢綁定域名情況的站點，比如國外十分有名的WebHosting，以及國內(nèi)的一些類似站點，黑客獲取站點信息可謂輕而易舉。
可見，站長可以為自己的網(wǎng)站打造安全的防御機制，但是卻無法控制虛擬主機提供商，及同服務(wù)器的其他網(wǎng)站的安全。如今隨著360網(wǎng)站安全檢測“旁注”風(fēng)險，這個難題得以迎刃而解。
圖2：360網(wǎng)站安全檢測新增“旁注”檢測功能
通過360網(wǎng)站安全檢測服務(wù)，站長可以查詢網(wǎng)站所在的虛擬主機上是否有其他域名存在安全風(fēng)險（圖3）。一旦發(fā)現(xiàn)自身網(wǎng)站可能遭到“旁注”攻擊，站長可以督促虛擬主機提供商進行防范，或者選擇安全性更高的虛擬主機提供商。
圖3：同一虛擬主機安全性一目了然
360安全專家表示，Web安全是一個整體，它不僅僅是由于單純的Web漏洞所導(dǎo)致，還有很多類似“旁注”攻擊這樣的安全隱患所影響，360網(wǎng)站安全檢測平臺會逐步的完善Web安全檢測策略，為廣大網(wǎng)站提供360度的安全保障。
360網(wǎng)站安全檢測平臺服務(wù)網(wǎng)址：http://webscan.360.cn
推薦閱讀
圓桌論壇：金磚國家與新興市場 瞄準(zhǔn)30億用戶的圈地運動（騰訊科技攝） 騰訊科技訊 北京時間5月10日消息，2012全球移動互聯(lián)網(wǎng)大會(GMIC)今日在北京舉行，主題為跨界、融合、變革。大會的主要話題為“移動互聯(lián)網(wǎng)新商業(yè)>>>詳細閱讀
本文標(biāo)題：拒絕“躺著中槍” 360網(wǎng)站安全新增“旁注”檢測
地址：http://www.xglongwei.com/a/kandian/20120510/59042.html
網(wǎng)友點評
精彩導(dǎo)讀
科技快報
品牌展示