2.4 堵住已知的漏洞，网络安全就成功了一大半

新浪、TOM、搜狐和网易作为国内最著名的四大网络门户站点，其用户数量是难以计数的，其网络安全的重要性也是不言而喻的。然而正是这些拥有众多网络管理人员及安全维护工作者的站点和网络，竟然存在着令人难以置信的安全漏洞。一个小小的安全漏洞，足以导致无数网络用户遭受挂马攻击，而门户网站内部网络被渗透入侵控制，攻击者如果稍作恶意破坏，其带来的经济损失将会是难以估算的。

回顾上一章的入侵测试过程，其中并没有用到什么未公布的网站程序或系统漏洞，也没有使用什么高深的黑客技术。在整个入侵过程中，所使用的不过是早在2003年就开始出现的，如今已被视为过时了的“烂”技术——SQL注入与脚本上传漏洞攻击利用技术（图2-3）。

连普通的小网站都知道要打上SQL注入补丁，堂堂门户网站新浪青岛分站及新浪主站，以及其他三大门户网站还存在如此“弱智”的漏洞，原因究竟是什么呢？是新浪网不重视网络安全，置各种网络攻击于不顾吗？显然并不是这样的。那么是新浪公司的网络工程师技术水平不够吗？当然，也不是。

图2-3 SQL注入攻击四大门户网站

其实，对于四大门户网站均存在SQL注入漏洞的原因，只不过是因为网络安全管理人员对于这些漏洞并不重视！许多网络安全管理人员对 SQL 注入之类的旧漏洞的危害性认识不够，在他们看来，这些“过时”的漏洞远没有系统出现的各种远程攻击溢出漏洞严重，要从 SQL 注入到控制漏洞主机，并进一步入侵内部网络的过程是很漫长的。而在这个过程中，有企业级的防火墙、防毒墙和各种入侵检测设备的保护，以及内部网络规划隔离等层层安全防护措施，攻击者要实现入侵目的是很困难的。

千里之堤，往往只是毁于蚁穴。上一章的入侵检测过程中，所谓“过时”的SQL注入“旧漏洞”，却恰恰成为了网络安全防线大堤上的蚁穴。有不少网络安全管理人员和工作者对最新的各种0Day漏洞，以及各种安全公告极为关注，却忽略了一些可能存在的旧漏洞。一些网络安全管理人员和工作者认为，如果运行老的系统就不会成为黑客的攻击目标，因为黑客只盯住使用较为广泛的软件，而这些软件的版本要比我们自己正在用的来得新。

然而本次入侵检测过程，却提醒了网络安全管理人员和工作者，漏洞是否存在危害，不在于这个漏洞是否发布了很久，是否过时，而在于所维护的网络中是否存在这个“过时”的旧漏洞。并不是只有最新的漏洞或最新的黑客攻击技术才会对网络造成危害，真正对网络安全造成危害的是管理人员的疏忽大意，导致网络中存在一些本不该存在的旧漏洞。

旧的黑客攻击技术不如最新的攻击技术影响轰动，但早已出现的旧技术恰恰是发展得最成熟的，在黑客攻击中的使用率也是最高的。旧漏洞也许被许多人遗忘，但在大中型网络中由于网络安全维护工作面太广，以及多人工作的配合方面存在问题，往往很容易导致一些旧漏洞隐藏在网络中不为人所注意，成为网络安全防线中的一颗定时炸弹。

以在本次入侵测试中所使用的SQL注入技术为例，从最早的Access数据库注入，PHP、JSP与ASPX网页程序注入，Oracle与MySQL 5数据库注入，到搜索型注入、Cookie注入、时间差注入、PHP 双字节编码注入技术等，SQL 注入攻击的手段可谓越来越多，其威力也越来越大。而许多网络安全管理人员却还停留在早期对 Access 数据库注入技术及危害性的认识上，远远未意识到SQL注入技术不仅没有过时，其攻击手段及危害性反而变得更强。

正是鉴于这个原因，本书后面的章节中将会全面深入地介绍各种漏洞攻击与黑客入侵技术。我们并不会在书中公布所谓最新或未公开过的漏洞和技术，而是旨在让读者真正全面了解到各种黑客入侵技术，并真正切实地认识到各种旧漏洞的攻击及危害。只要真正堵住现在的各种漏洞，应对已经被广泛利用的入侵攻击技术，网络安全就已成功了一大半！