01 前言

Web应用安全依然是互联网安全的最大威胁来源之一,除了传统的网页和APP,API和各种小程序也 作为新的流量入口快速崛起,更多的流量入口和更易用的调用方式在提高web应用开发效率的同时也带 来了更多和更复杂的安全问题。一方面,传统的SQL注入、XSS、CC攻击等传统攻击手段和各种新爆 出的web漏洞无时无刻不在考验着web应用安全方案的健壮性、灵活性和安全团队的快速反应能力,另 一方面随着大数据技术和流量产业的成熟,互联网中来自自动化程序的流量占比也在迅速增长,爬虫也 随之成为一个不容忽视的存在,伴随而来的数据泄露、流量作弊等问题也为各类业务带来了非常头痛的 费用浪费、业务不可用以及各类业务安全类问题。

 

作为防御Web应用安全的基础设施,Web应用防火墙(WAF)依旧扮演着极其重要的角色,而其中云 WAF又具备漏洞响应快、功能迭代迅速、支持弹性扩容、快速容灾等优势。本文根据阿里云WAF和防 爬团队对2019年上半年云上流量的分析情况,为您带来最新的攻击趋势、漏洞应急情况以及一线安全 专家的核心观点和防护建议。

2019年上半年Web应用安全报告 

 

02 攻击态势分析 

1. 基础web攻击情况

传统web攻击手段中,webshell、SQL注入和命令执行依然是最大的攻击类型,在传统攻击的分布上 较往年没有太大的差异,如图2-1所示。

 

 

从攻击源的分布来看,国内的攻击量仍然占据绝对优势,当然这与当前云上用户还是以国内用户和业务 居多有关。除去国内的攻击源,美国和东南亚地区成为攻击源最多的地区,如图2-2所示

 

从站点行业分布角度来看,备受攻击者青睐的网站多是互联网、电商、媒体和政府类站点,具体分布见 下图:

 

从攻击的时间趋势来看,2019年上半年除了2月份春节以外,每个月的攻击次数都成递增趋势,到5月 每个月拦截的攻击超过19亿,6月份拦截的攻击突破20亿,如下图所示。

 

同时,利用威胁情报能力把防护做到事前也是一个必然的趋势,特别是在云上,天然的大数据优势可以 为威胁情报提供很好的基础。根据阿里云WAF全网协同防御数据所生成的威胁情报库看,每天在云上 进行大量web攻击行为(从来不干好事)的IP超过了2000个,这些动态IP形成的威胁情报库每天拦截 的攻击量超过了1600万条。

 

2. CC和爬虫攻击情况

从上半年云上的CC攻击情况看,在攻击事件数量上基本与去年保持持平,虽然最大的CC攻击事件攻击 峰值超过了200万QPS(每秒请求数),但我们看到大流量暴力型的CC攻击在减少,并且攻击变得更 加灵活和智能,在一些高级攻击中往往伴随有较为完善的监控体系,在被拦截后能够做一定程度的攻击 手法变换以达到动态对抗、绕过防护策略的目的。而相应的,企业也应该在CC防护上具备自动对抗的 能力,当前阿里云安全产品所使用的基于AI自动学习流量基线并生成防护规则的防护引擎就是我们在这 一领域的最佳实践。

 

攻击者正在向更精细化的方向演化,更多类似CC攻击的行为出现在一些业务属性明显的接口上,如登录接口、短信验证码接口、查票接口、专利查询接口等。即越来越多的CC攻击是由于爬虫爬取量过大 带来的“附加伤害”所引起的拒绝服务效果。

 

反观爬虫,时至今日爬虫已经有了明显的产业化,背后有明确的利益驱动,可能是营销作弊、倒卖低价 票、爬取价值资讯、薅羊毛等。这类爬虫往往会对一些特定的业务感兴趣(如查询机票),而且往往会 规模化、常年持续性的爬取这类业务接口以获取最新的价值资讯(如航线和票价)。在我们统计到的一 些用户的票务接口上,来自爬虫的日常流量占比已经超过了98%,相应的正常用户请求只有不到2%。

 

同时,秒拨IP和代理IP已经被大规模的应用,基于我们对云上比较受爬虫“青睐”的业务观察,单个域 名24小时内爬虫所使用的去重IP数量就达到了80万以上,而这个数字在2018年仅为27万。更加值得 关注的是,第二天被复用的爬虫代理IP中跟前一天的重合度只有38%左右。

 

这两个数字意味着传统的固定IP池已经在向大规模的动态IP池进化,同时爬虫所使用的代理IP和正常用 户所使用的IP重合度也越来越大,如果单纯的以IP作为客户端标记进行检测和拦截,将会带来越来越多的漏报和误伤。

 

另外,专业爬虫团伙所使用的代理IP池已由国内向全球各大洲转移,云上统计到的爬虫IP来源地中,中国大陆地区仍占了超过半数。除中国大陆地区外,在东南亚、北美和欧洲也有着大量分布,如图2-5所示。

 

03 核心观点与安全建议 

1. 90%以上攻击流量来源于扫描器

扫描器往往是攻击者的开路利器,在大规模批量扫描中被嗅探到大量漏洞的web站点更容易成为攻击者 下手的对象。通过特征、行为等维度识别并拦截扫描器请求,可以有效降低网站被攻击者盯上的概率, 同时有效缓解批量扫描行为带来的负载压力。

 

从目前的数据来看,拦截的攻击中,扫描器产生的请求数量在90%以上,除去扫描器自动化产生的攻击, 剩下的10%手工测试行为,0day,广度低频等攻击则是需要花上90%精力来解决,如图3-1所示。

 

2. 利用编码绕过防护的行为愈发普遍

随着WAF对网站的防护越来越普及,针对基础web攻防来说,利用诸如MySQL、JavaScript语言特 性进行各种编码、变形,从而绕过WAF防护的攻击payload也越来越多,攻防是一个持续对抗升级的 过程。根据云上数据显示,当前已有近1/3的攻击数据采用了不同程度或类型的编码、变形手段,以期 绕过云盾WAF的防护,其中甚至不乏使用多维度的复合变形、编码手段实施攻击。

 

云盾WAF新一代引擎架构,支持多种常见HTTP协议数据提交格式全解析:HTTP任意头、Form表单、 Multipart、JSON、XML;支持常见编码类型的解码:URL编码、JavaScript Unicode编码、HEX 编码、Html实体编码、Java序列化编码、base64编码、UTF-7编码;支持预处理机制:空格压缩、注 释删减,向上层多种检测引擎提供更为精细、准确的数据源。

 

该架构主要特征包括:在准确性上,优化引擎解析HTTP协议能力,支持复杂格式数据环境下的检测能 力;抽象复杂格式数据中用户可控部分,降低上层检测逻辑的复杂度,避免过多检测数据导致的误报,降 低多倍的误报率;在全面性上,支持多种形式数据编码的自适应解码,避免利用各种编码形式的绕过。

 

3. IP身份不再可信

IP地址是传统防护中一个非常重要的手段,很多经典的防护手段,如限速、名单、异常行为识别、威胁 情报等都是基于IP地址实现的。但随着现在黑灰产对大规模代理IP池,特别是秒拨IP的广泛使用,IP地 址已经变得不再可信。同一个IP地址,在10分钟前还被合法用户小白用于浏览A网站,在10分钟后已经 被黑产人员小黑用作撞库攻击的代理IP,一个IP背后的身份开始变得极其复杂,黑与白交接的灰色地带 比例在迅速扩大,这对于很多传统安全方案(不论是黑名单机制还是白名单机制)都带来了颠覆性的威胁,带来的相应误报和漏报也在迅速增长。

 

相应的,防护一方也应该做出改变。我们建议在做安全防护方案时,一方面将IP的身份或信誉辅助以其 他维度的情报信息或者二次校验手段综合判断;另一方面降低对于IP的依赖,从更多维度去标识一个“客 户端”或者“用户”,如设备指纹、业务中打点的token、cookie等等。

 

04 漏洞应急响应实践案

对于新爆发漏洞的应急响应和自动防御是云WAF的核心能力之一,上半年阿里云安全团队共进行了13 次针对新爆发web漏洞的应急,这其中最具代表性的是weblogic远程代码执行漏洞。

 

Weblogic是Oracle公司出品的著名中间件产品,weblogic的XMLDecoder出现了多次远程代码执行 漏洞,官方修复的方式一直是采用黑名单绕过的方式,已经成为了黑客的主要攻击目标,本次应急分析的 Weblogic远程代码执行漏洞(CVE-2019-2725),由于采用的是HTTP协议发送请求,所以从云上监控 数据来看,黑客更喜欢利用通过HTTP协议执行的漏洞进行挖矿、勒索等目的攻击。而weblogic的主要 使用用户多为保险、证券、网贷等互联网金融行业,这些客户的数据更加敏感和重要。

2019年4月17日,CNVD公布编号为CNVD-C-2019-48814(CVE-2019-2725)的WebLogic漏 洞,指出该漏洞受影响的war包为bea_wls9_async_response.war。wls9-async组件为WebLogic Server提供异步通讯服务,默认应用于WebLogic部分版本。由于该war包在反序列化处理输 入信息时存在缺陷,攻击者通过发送精心构造的恶意HTTP请求,即可获得目标服务器的权限,在未授 权的情况下远程执行命令。

 

阿里云WAF团队在监测到该漏洞后立即进行分析,发现除bea_wls9_async_response.war之外, wls-wsat.war也受到该漏洞影响。

 

4月23日CNVD追加通告称,该漏洞受影响的war包不仅仅包括bea_wls9_async_response.war, 还包括wls-wsat.war。该war包提供了WLS-WebServices的路由,而WLS-WebServices功能使 用了XMLDecoder来解析XML数据。

 

4月21日,阿里云针对该漏洞更新了默认防御规则,开启拦截模式,实现用户域名接入即可防护。通过 对阿里云上的流量监控发现在Weblogic远程代码执行(CVE-2019-2725)漏洞爆发后的攻击趋势如 下图所示:

 

从漏洞类型看,主要高危漏洞都是属于远程命令执行(Remote Code Execution)漏洞,其中不乏国 内外主流的Web中间件和Web CMS (如Weblogic、Jenkins、Drupal、ThinkPHP),从防御规 则更新后在云上实际的拦截量来看,ThinkPHP5.0.x远程代码执行漏洞以绝对优势占据榜首,其他规 则的拦截量分布如下:

 

以上就是阿里云针对上半年云上web安全情况的分析和解读,希望对各类站点的运维 人员和安全人员带来参考,共建安全的互联网!