短视频，自媒体，为人们种草提供一站式服务

网站安全仍然是目前互联网网络安全的最大安全风险源，包括现有PC网站、移动网站、APP、微信API接口小程序的流量不断增加，尤其是当移动终端访问多个PC网站时。移动用户有了更多的PC，人们的生活习惯也在改变。APP流量占据整个互联网市场，好用的同时也带来了新的网站安全问题，APP安全问题也层出不穷

根据我们SINE安全公司2019年第一季度和第二季度的网站安全检查，SQL注入漏洞、XSS跨站漏洞、DDOS流量攻击等漏洞攻击在网站漏洞中排名第一，CSRF也挤进了前五名，说明漏洞的危害性越来越大。网站漏洞的出现，每分钟都在考验网站和APP应用背后的安全应急能力。区块链、虚拟货币、大数据、云计算技术和行业的成熟等其他方面也带动了互联网流量的快速增长，搜索引擎的蜘蛛和爬虫攻击也在增加。许多网站泄露了用户信息，网站被攻击瘫痪，给公司运营带来了严重影响。经济损失和企业声誉损失是双重挑战。根据SINE Security 2019年一、二、三季度全面的安全检测和漏洞攻击分析，我们将呈现2019年网站安全检测报告。

大多数网站被攻击，应用被攻击，数据被篡改，网站被跳转到其他网站，网站快照被劫持等。所有这些都受到网站漏洞扫描器的攻击。漏洞扫描软件会自动扫描、嗅探和探测互联网上的网站和应用程序。目前的漏洞扫描软件非常智能，网站使用的源代码会自动识别。例如，一些企业网站使用dedecms系统。Phpcms，discuz Forum System，metinfo，thinkphp System，都是识别和区分网站版本的，自动验证网站版本存在的漏洞。如果网站和APP有漏洞，会直接执行下一次攻击操作。也就是说，整个网站的攻击源是漏洞扫描软件。

在防护漏洞扫描软件上，大多数安全厂商会分析扫描软件的特性和日志，定位软件的扫描端口，每分钟扫描次数超过几次后将扫描IP识别为漏洞扫描软件，并更新到安全黑名单中屏蔽漏洞扫描器，可以有效防止网站被攻击，大大减轻漏洞扫描给网站和服务器带来的CPU负载，促进网站更快地打开和访问，为用户提供更好的网站访问体验。

随着网站防火墙的升级和WAF规则的不断变化，传统的sql注入攻击和XSS跨站攻击代码将被防火墙拦截。国内阿里巴巴云CDN、百度云加速、360CDN、腾讯云CDN都有自己的WAF保护规则。当试图攻击网站时，这些恶意代码攻击会被自动拦截。目前，许多攻击者使用编码加密来绕过防火墙并禁用它。这种攻击越来越严重。像mysql数据库和js语言，通过编码和变形绕过网站保护的攻击越来越多。攻击和保护是对立的。路一尺高，魔一丈高，这是在不断的竞争。我们的SINE安全公司发现，这次攻击特别是在2019年。大部分都是利用编码加密和变形绕过网站防火墙和WAF。在get、post和cookies数据中，http头、表单淡化、十六进制编码、JAVA编码、UTF7编码、注释加减、unicode编码旁路都是目前常用的旁路保护措施。

被攻击的IP地址越来越多，代理IP和外地IP都呈上升趋势。随着IPV6的开放，可以使用更多的IP。当网站防火墙截获攻击IP后，攻击者会自动切换IP，继续攻击网站。IP地址不能作为网站保护的重要手段。我们的网站防火墙应该从多个数据进行分析。比如攻击者使用的计算机硬件设备名称、cookies、浏览器特征、令牌动态值、大数据综合分析、可信IP发布、添加具有攻击行为的IP进行审计、通过多日志分析判断是否是攻击。