互联网十大漏洞

这里介绍的10大漏洞是当今互联网上发现的最普遍而且风险最高的漏洞。这一10大漏洞清单主要来源于ISS X-Force安全小组的分析、用户的安全报告、ISS的专业服务队伍和安全合作伙伴。10大漏洞表由ISS X-Force小组维护并以ISS安全警告汇编的形式每季度发布。 鉴于这10大漏洞的重要性和严重性，建议各个行业、企业、机构的安全主管机构充分重视这些安全问题，并将这些漏洞的解决办法和处理决策落实到安全策略中，建立更加有效、更加完善的信息安全防护体系。 1、拒绝服务攻击 TFN TFN2K Trin00 Stacheldraht FunTime Apocalypse 2、脆弱的账号 缺省账户(路由器、防火墙) 管理员账户admin/root的空口令或弱口令 SNMP Community Name的缺省设置 3、IIS(微软的Web服务器Microsoft Internet nformation Server) RDS HTR 畸形header PWS文件访问 CGI圈套 PHP3元字符 PHP mlog.html读文件 4、数据库 Oracle缺省账户/口令 Oracle setuid root oratclsh SQL Server Xp-sprintf缓存溢出 SQL Server Xp-cmdshell扩展 5、电子商务主页应用 NetscapeGetBo HttpIndexserverPath Frontpage Extensions Frontpage Pwd Administrators 6、电子邮件系统 Sendmail管道攻击 SendmailMIMEbo 7、文件共享 NetBIOS NFS 8、RPC rpc.cmsd rpc-statd Sadmin Amd Mountd 9、BIND BIND nxt BIND qinv 10、Linux缓存溢出 IMAP BO Qpopper BO 改写堆栈覆益 WU-FTP缓存溢出 建议的修改步骤 在业务层次，通过组织来实施和管理安全部件，并且通过持续的保持警惕和对威胁的监控来降低新的风险。 ISS建议建立下面一些安全层次： 安全策略 安全管理层(比如内联网) 安全软件(基于主机的评估和入侵检测) 安全网络部件OS/net/db/web