360提醒部分網(wǎng)站盡快修復(fù)登錄漏洞

1月5日，360安全中心公布安全警報(bào)稱，目前有少量互聯(lián)網(wǎng)站存在"登錄漏洞"，會(huì)導(dǎo)致其用戶的帳號(hào)和密碼在登錄網(wǎng)站時(shí)泄露在網(wǎng)址中，存在一定安全風(fēng)險(xiǎn)。360安全專家石曉虹博士表示，這些網(wǎng)站的"登錄漏洞"是因?yàn)椴杉{了Http Get的方式在用戶登錄時(shí)進(jìn)行身份驗(yàn)證，只要關(guān)閉這項(xiàng)登錄方式，改用安全性更高的Http Post方式，就能修復(fù)網(wǎng)站的"登錄漏洞"。

石曉虹博士打了個(gè)比方說(shuō)：網(wǎng)站存在"登錄漏洞"，就相當(dāng)于一個(gè)人把銀行卡號(hào)、密碼以及開戶銀行都記在一張紙條上。這是一種極不合理的保密方式，如果整張紙條丟了，就會(huì)使自己的財(cái)產(chǎn)面臨失竊的危險(xiǎn)。不過(guò)經(jīng)360安全中心驗(yàn)證，目前存在"登錄漏洞"的網(wǎng)站數(shù)量并不多，主要是一些安全機(jī)制不嚴(yán)格的網(wǎng)站，并不涉及網(wǎng)上銀行、網(wǎng)上支付、網(wǎng)游等重要帳號(hào)。

有網(wǎng)友評(píng)論認(rèn)為，此前金山毒霸和360就"是否泄露用戶隱私"爆發(fā)口水戰(zhàn)，就是個(gè)別網(wǎng)站的"登錄漏洞"惹了禍。對(duì)此石曉虹博士解釋道："為了找到木馬攻擊源頭，360和其他國(guó)內(nèi)外安全廠商普遍采納了'掛馬網(wǎng)頁(yè)觸發(fā)可疑網(wǎng)址上傳'機(jī)制，即在用戶受到掛馬網(wǎng)頁(yè)攻擊時(shí)，會(huì)把當(dāng)前所有未關(guān)閉網(wǎng)頁(yè)的URL網(wǎng)址上傳到日志服務(wù)器上進(jìn)行驗(yàn)證，以便把其加入惡意網(wǎng)址庫(kù)。如果此時(shí)用戶恰好訪問(wèn)了存在'登錄漏洞'的網(wǎng)站，就有可能把泄露了用戶名和密碼的網(wǎng)址一并上傳，造成安全隱患。"

石曉虹博士進(jìn)一步表示："360并沒有泄露用戶隱私，只是云安全、云計(jì)算這項(xiàng)全新的技術(shù)體系有可能把個(gè)別'登錄漏洞'網(wǎng)站泄露的用戶隱私采集。如果想從根本上杜絕這個(gè)情況，不僅安全廠商應(yīng)該注意妥善處理用戶信息，互聯(lián)網(wǎng)站也需要積極修復(fù)漏洞。"

據(jù)介紹，360安全中心已領(lǐng)先針對(duì)網(wǎng)站"登錄漏洞"采取了應(yīng)對(duì)措施：當(dāng)用戶訪問(wèn)存在"登錄漏洞"的網(wǎng)站時(shí)，即便遇到未知掛馬網(wǎng)頁(yè)攻擊，360網(wǎng)盾也不再進(jìn)行樣本上傳；此外，360網(wǎng)盾未來(lái)還將公布一項(xiàng)可以檢測(cè)網(wǎng)站"登錄漏洞"的功能，當(dāng)用戶打開此類網(wǎng)站后第一時(shí)間進(jìn)行安全提示，最大限度地保護(hù)好用戶隱私。

關(guān)于360安全中心

360安全中心2006年7月成立，是一家基于互聯(lián)網(wǎng)平臺(tái)的新興網(wǎng)絡(luò)安全公司，信奉"用互聯(lián)網(wǎng)發(fā)動(dòng)人民戰(zhàn)爭(zhēng)，絞殺木馬產(chǎn)業(yè)鏈"。其創(chuàng)新的"云安全"技術(shù)，成立之初就發(fā)動(dòng)網(wǎng)民共同參與，對(duì)流氓軟件和木馬、插件形成了致命的打擊，360也由此贏得了網(wǎng)民和市場(chǎng)。360旗下免費(fèi)的360安全衛(wèi)士、360殺毒、360安全掃瞄 器、360保險(xiǎn)箱和360軟件管家、360手機(jī)衛(wèi)士等系列產(chǎn)品，為網(wǎng)民構(gòu)筑了一個(gè)互聯(lián)網(wǎng)和手機(jī)的安全防線，全方位保護(hù)網(wǎng)民上網(wǎng)安全。