广东网警发布“安网2016”第八期周报

安网2016

“安网2016”网络安全专项治理行动开展第八周（2016年2月15日至2016年2月21日），本期共计发现35处安全隐患。通过对这些安全隐患进行采集、分析和整理，从危害程度来看，在这些网站中高危漏洞17个，占总比重的48.6%；从风险类别来看，XSS注入、SQL注入、目录列举类漏洞是主要隐患类型，占总类别的86.7%；从行业类型来看，医疗卫生、事业单位和政府占总行业83.3%。

一、高危服务器权限获取漏洞威胁政府网站安全。在本期监测中，广东省某市信息中心、广东省某县人民政府和广东省某教育机构的网站均被检测出高危漏洞。该命令执行漏洞会使服务器权限被获取，进而导致对服务器的进一步入侵，致使信息系统中的数据面临盗取、丢失、篡改等高危风险。除窃取篡改数据中心的数据之外，还很有可能出现更改行政指令及瘫痪系统运营等恶性后果，急需修复漏洞。请这些单位高度重视，立即修补漏洞，并定时维护检查更新，杜绝信息安全隐患。

二、广州市多家医疗卫生单位网站存在安全隐患。本期对广州市医疗卫生行业的网站进行重点抽样监测，发现多家网站存在安全隐患。广州市某区医院、广州市某人民医院和广州市某中医院等9家医疗单位网站，均存在不同程度的网络安全隐患。这些单位网站存在的问题主要是SQL注入、XSS注入、代码执行、信息泄露等高危型风险，攻击者在互联网上可直接对网站进行攻击，获取网站敏感信息和高级权限，对网站建设和品牌宣传危害极大，希望网站网络安全管理者高度重视并及时整改。

三、工作建议。通过本期的检测排查，发现我省政府网站和医疗卫生行业网站存在较多的网络安全隐患，针对我省重点网站和信息系统的网络攻击威胁仍未出现下降趋势。公安机关建议：一是提升网络安全意识，建立自我防范、排查机制，强化网络安全建设。部分单位网络安全意识不足，网站防护较弱，对潜藏网络安全风险缺乏理解，从而导致隐患重重；二是针对已经发现的服务器权限获取高危漏洞，建议在代码层面上进行修改，严格过滤用户非法输入，加强后台上传限制。网站管理者要根据不同的风险类型找准原因、对症施治，及时进行安全修复，彻底解决隐患。三是对于不能进行补丁修复的单位，建议部署下一代防火墙产品进行安全防护。