發(fā)現(xiàn)漏洞拿獎金，一個網(wǎng)名為“合肥濱湖虎子”的技術(shù)高手，最近已經(jīng)通過向360網(wǎng)站安全檢測“庫帶計劃”報告漏洞，三個月內(nèi)獲得31450元的現(xiàn)金獎勵。據(jù)悉，“庫帶計劃”專門征集開源建站程序漏洞，用以幫助軟件公司和開發(fā)者及時推出補(bǔ)丁，加強(qiáng)網(wǎng)站對黑客攻擊“拖庫”的防范能力。
根據(jù)360“庫帶計劃”最新披露的數(shù)據(jù)，該計劃發(fā)布后一季度內(nèi)，共收集到的第三方開源建站程序(俗稱CMS)0day漏洞816個，高危漏洞占比達(dá)到八成。被提交漏洞最多的建站程序是Discuz!、DedeCMS和PHPWind，漏洞數(shù)量分別是78個、53個和48個，它們也是目前國內(nèi)網(wǎng)站應(yīng)用最廣泛的建站程序，網(wǎng)站用戶量高達(dá)百萬級。360同時表示，被提交漏洞多的CMS并不意味著不安全，而是體現(xiàn)出市場關(guān)注度和用戶量，其中Discuz!和PHPWind、ECSHOP等都是對安全很重視并積極修復(fù)漏洞的負(fù)責(zé)仁廠商。
Discuz!等第三方開源建站程序以其簡單、方便、免費(fèi)，被大量應(yīng)用于社區(qū)、門戶、電商、教育、企業(yè)、博客等網(wǎng)站，其系統(tǒng)安全性非常重要，因為如果某個擁有大量用戶的建站程序出現(xiàn)漏洞，就意味著所有應(yīng)用此程序的網(wǎng)站都會被黑客輕易攻破。巨大的利益驅(qū)動也讓此類大型開源CMS成了黑客重點(diǎn)攻擊的目標(biāo)，此前多網(wǎng)站曝出“泄密門”，上億條用戶帳號密碼在網(wǎng)上公開，其根源就是網(wǎng)站被黑客利用漏洞入侵“拖庫”。
為了保護(hù)網(wǎng)站安全，同時也為了提升360網(wǎng)站衛(wèi)士掃描、防御漏洞的能力，360公司于今年上半年推出“庫帶計劃”，以獎金懸賞技術(shù)高手提交漏洞。此外，漏洞報告者還可以獲得積分，兌換MacBook Pro、三星Note II N7100、iPhone5等獎品。截至6月底，已有六位技術(shù)高手獲得萬元以上的現(xiàn)金獎勵，漏洞獎勵金額在國內(nèi)各大漏洞響應(yīng)平臺中處于領(lǐng)先地位。
數(shù)據(jù)顯示，在360“庫帶計劃”上半年收集到的第三方建站程序漏洞中，SQL注入漏洞最多，占比54.7%;其次是XSS漏洞和權(quán)限繞過漏洞，占比分別為18.4%和8.1%。在漏洞危害級別統(tǒng)計中，高危漏洞占比高達(dá)79%。
360網(wǎng)站安全工程師趙武表示，隨著“庫帶計劃”的推出，大多數(shù)建站程序都能快速修復(fù)漏洞，及時推出補(bǔ)丁保護(hù)網(wǎng)站用戶的數(shù)據(jù)安全。網(wǎng)站站長除了關(guān)注CMS官方安全更新，還可360免費(fèi)的網(wǎng)站安全防護(hù)產(chǎn)品“360網(wǎng)站衛(wèi)士”，可有效防范黑客攻擊，并具備為網(wǎng)站訪問加速等實(shí)用功能。