安全漏洞挖掘及漏洞防范
——Content-Type漏洞挖掘分析及漏洞分布

劉孝華 思博倫通信

思博倫技術(shù)專(zhuān)欄

安全漏洞挖掘及漏洞防范
——Content-Type漏洞挖掘分析及漏洞分布

劉孝華 思博倫通信

編者按：伴隨互聯(lián)網(wǎng)和移動(dòng)終端應(yīng)用的飛速發(fā)展，網(wǎng)絡(luò)及應(yīng)用安全給網(wǎng)絡(luò)及應(yīng)用的發(fā)展提出了挑戰(zhàn)。自2013年開(kāi)始，傳統(tǒng)互聯(lián)網(wǎng)安全威脅以及被感染終端次數(shù)，隨著高效的終端安全策略的全面實(shí)施，呈現(xiàn)逐年下降的趨勢(shì)。但是，隨著移動(dòng)終端及應(yīng)用的廣泛使用，加之PC功能移動(dòng)終端化、高效移動(dòng)辦公以及應(yīng)用安全漏洞，導(dǎo)致移動(dòng)終端類(lèi)安全漏洞爆發(fā)呈現(xiàn)爆炸增長(zhǎng)。思博倫通信劉孝華所撰《安全漏洞挖掘及漏洞防范》一文對(duì)安全漏洞挖掘及漏洞防范進(jìn)行了介紹，并重點(diǎn)對(duì)Content-Type漏洞挖掘分析及漏洞分布進(jìn)行了分析和研究。思博倫通信最新安全測(cè)試平臺(tái)Cyberflood實(shí)現(xiàn)仿真多種惡意代碼及病毒攻擊感染方式。

1 引言

伴隨互聯(lián)網(wǎng)和移動(dòng)終端應(yīng)用的飛速發(fā)展，網(wǎng)絡(luò)及應(yīng)用安全給網(wǎng)絡(luò)及應(yīng)用的發(fā)展提出了挑戰(zhàn)。自2013年開(kāi)始，傳統(tǒng)互聯(lián)網(wǎng)安全威脅以及被感染終端次數(shù)，隨著高效的終端安全策略的全面實(shí)施，呈現(xiàn)逐年下降的趨勢(shì)。依據(jù)2014年數(shù)據(jù)體現(xiàn)，逐月下降的趨勢(shì)不會(huì)改變（見(jiàn)圖1、2）。

但是，隨著移動(dòng)終端及應(yīng)用的廣泛使用，加之PC功能移動(dòng)終端化、高效移動(dòng)辦公以及應(yīng)用安全漏洞，導(dǎo)致移動(dòng)終端類(lèi)安全漏洞爆發(fā)呈現(xiàn)爆炸增長(zhǎng)（見(jiàn)圖3、4）。

2 Content-Type漏洞挖掘分析及漏洞分布

惡意代碼占有相當(dāng)比例出現(xiàn)方式以超文本手段，隱藏惡意代碼實(shí)現(xiàn)，攻擊原理與傳統(tǒng)Content-type原理相類(lèi)似，依次按照Content-type方式分析此類(lèi)攻擊原理及手段。

Content-Type攻擊原理：

類(lèi)似于HTTP、PDF、DOC這樣文件的內(nèi)容文件類(lèi)型的的文件格式非常復(fù)雜，就算是最簡(jiǎn)單的文本文件，AdobeReader和Office依然動(dòng)輒上萬(wàn)行代碼。攻擊者利用代碼中存在的漏洞及編程缺陷引發(fā)內(nèi)存上崩潰問(wèn)題，并通過(guò)打開(kāi)的文本文件在受害主機(jī)上運(yùn)行。當(dāng)然，在這一切開(kāi)始的時(shí)候攻擊已經(jīng)通過(guò)完美的社會(huì)工程策略，誘使被害者打開(kāi)文檔或郵件附件，然而這一切受害者均不知情還以為自己打開(kāi)了一封“干凈的文檔”。Content-type攻擊概念圖如圖5所示。

圖1 2014年逐月安全風(fēng)險(xiǎn)柱狀圖

圖2 2011—2015年信息安全漏洞

Content-type最早出現(xiàn)于2003—2005年之間，通常會(huì)搜索硬盤(pán)以查找感興趣文件，并將此文件傳到攻擊者PC上。如今，Content-type攻擊手段常被用于安裝特洛伊木馬，然后軟件主動(dòng)呼叫攻擊者控制“受害者”。攻擊過(guò)程如圖6所示。

思博倫通信最新安全測(cè)試平臺(tái)Cyberflood實(shí)現(xiàn)仿真多種惡意代碼及病毒攻擊感染方式。

Cyberflood是基于Web訪(fǎng)問(wèn)實(shí)現(xiàn)測(cè)試用例部署及實(shí)施。實(shí)現(xiàn)測(cè)試場(chǎng)景與測(cè)試實(shí)施的分布式部署參見(jiàn)圖7。

基于Content_type惡意攻擊的仿真測(cè)試如圖8、9所示。

Apache Tomcat Fileupload Content_type header infinite loop仿真攻擊流程參見(jiàn)圖10，攻擊特征報(bào)文參見(jiàn)圖11。

Cyberflood支持通過(guò)MSL腳本語(yǔ)言自定義攻擊流程，編輯惡意特征，具體參見(jiàn)圖12。

MSL腳本源碼：

圖3 2012—2015年手機(jī)病毒樣本量變化圖

圖4 全球安卓移動(dòng)終端惡意代碼病毒爆發(fā)柱狀圖

圖5 惡意Content-type攻擊文檔

圖6 Content-type攻擊過(guò)程

圖7 Cyberflood部署圖

圖8 測(cè)試運(yùn)行

圖9 測(cè)試完成

圖10 攻擊流程圖

圖11 攻擊特征報(bào)文

圖12 Cyberfiood支持通過(guò)MSL腳本語(yǔ)言自定義攻擊流程，編輯惡意特征

全評(píng)測(cè)，通過(guò)科學(xué)的手段提高應(yīng)用系統(tǒng)的安全防護(hù)級(jí)別，進(jìn)行攻防實(shí)施演練增加人員網(wǎng)絡(luò)應(yīng)用系統(tǒng)安全措施能力。

中興通訊CloudWorks方案榮獲Telecom Asia年度NFV創(chuàng)新大獎(jiǎng)

2016年11月30 日，中興通訊CloudWorks解決方案，榮獲亞洲權(quán)威電信雜志《TelecomAsia》“NFV年度創(chuàng)新大獎(jiǎng)”（NFVInnovationoftheYear），充分展示了在NFV領(lǐng)域的創(chuàng)新能力與領(lǐng)先水平。

中興通訊CloudWorks解決方案，基于組件化的NFV網(wǎng)絡(luò)，構(gòu)建集開(kāi)發(fā)、驗(yàn)證、集成、發(fā)布于一體的開(kāi)放平臺(tái)。第三方開(kāi)發(fā)者可以通過(guò)友好的開(kāi)發(fā)環(huán)境，利用運(yùn)營(yíng)商微服務(wù)組件庫(kù)中的原子級(jí)能力組件，開(kāi)發(fā)出滿(mǎn)足用戶(hù)個(gè)性化需求的創(chuàng)新應(yīng)用，并在仿真環(huán)境中進(jìn)行測(cè)試驗(yàn)證，然后通過(guò)同一平臺(tái)進(jìn)行發(fā)布。借助CloudWorks解決方案，移動(dòng)網(wǎng)絡(luò)APP將突破運(yùn)營(yíng)商所提供的標(biāo)準(zhǔn)化業(yè)務(wù)，可滿(mǎn)足包括5G和物聯(lián)網(wǎng)在內(nèi)的多種創(chuàng)新應(yīng)用的推廣，開(kāi)發(fā)者和運(yùn)營(yíng)商也將獲得更多收益。

中興通訊攜手“一帶一路”兩國(guó)主流運(yùn)營(yíng)商詮釋M-ICT2.0戰(zhàn)略

近日，ZTETowards2020峰會(huì)分別在馬來(lái)西亞吉隆坡、泰國(guó)曼谷兩地成功舉辦，馬來(lái)西亞政府通信與多媒體委員會(huì)（MCMC）、全球知名咨詢(xún)機(jī)構(gòu)OVUM、馬來(lái)西亞和泰國(guó)主流運(yùn)營(yíng)商Digi、Umobile、Celcom、TM、P1、AIS、Ture、3BB、TOT、CAT等以及本地媒體400余人出席本次盛會(huì)。

峰會(huì)期間，中興通訊東南亞區(qū)總經(jīng)理周方和中興通訊副總裁張健鵬分享了中興通訊面向未來(lái)的數(shù)字化轉(zhuǎn)型M-ICT戰(zhàn)略舉措和當(dāng)前成果。馬來(lái)西亞政府通信與多媒體委員會(huì)（MCMC）數(shù)字化服務(wù)和標(biāo)準(zhǔn)部首席傳播官M(fèi)ohdAlihanafiah指出要把握新一輪科技創(chuàng)新革命和信息產(chǎn)業(yè)浪潮的重大機(jī)遇,通過(guò)建設(shè)物聯(lián)網(wǎng)，構(gòu)建城市發(fā)展的智慧環(huán)境，這將涉及到智能樓宇、智能家居、路網(wǎng)監(jiān)控、智能醫(yī)院、城市生命線(xiàn)管理、食品藥品管理、個(gè)人健康與數(shù)字生活等諸多領(lǐng)域。咨詢(xún)機(jī)構(gòu)OVUM專(zhuān)家指出物聯(lián)網(wǎng)、智能家居、企業(yè)云等是未來(lái)電信行業(yè)的重要推動(dòng)力并帶動(dòng)5G、SDN/NFV網(wǎng)絡(luò)建設(shè)和IT基礎(chǔ)建設(shè)。Axiata集團(tuán)CTOAmandeepSingh認(rèn)為Web4.0時(shí)代已經(jīng)到來(lái)，5G商用即將啟動(dòng)，未來(lái)萬(wàn)物互聯(lián)、泛在智能、大視頻等業(yè)務(wù)帶動(dòng)數(shù)據(jù)流量井噴，網(wǎng)絡(luò)安全需要重點(diǎn)關(guān)注。泰國(guó)Ture首席執(zhí)行顧問(wèn)StevenC.Hopcraft分享了True面向未來(lái)數(shù)字化轉(zhuǎn)型的戰(zhàn)略舉措和路標(biāo)。最后中興通訊專(zhuān)家團(tuán)隊(duì)分享了中興通訊在5G、Gigabyte接入、彈性網(wǎng)絡(luò)、物聯(lián)網(wǎng)、大數(shù)據(jù)、大視頻等領(lǐng)域的創(chuàng)新方案以及應(yīng)用案例，助力馬來(lái)西亞和泰國(guó)迎接數(shù)字革命的到來(lái)。