6月28日晚間20時(shí)左右，新浪出現(xiàn)了一次比較大的XSS（跨站腳本）漏洞攻擊，"中毒"的微博用戶會(huì)自動(dòng)向自己的粉絲發(fā)送諸如"建黨大業(yè)中穿幫的地方"、"個(gè)稅起征點(diǎn)有望提到4000"、"郭美美事件的一些未注意到的細(xì)節(jié)"、"3D肉團(tuán)團(tuán)高清普通話版種子"等含毒的微博與私信，并自動(dòng)關(guān)注一位名為hellosamy，粉絲點(diǎn)擊后會(huì)再次中毒，然后形成惡性循環(huán)。新浪微博蠕蟲(chóng)爆發(fā)僅執(zhí)續(xù)了16分鐘，受影響用戶就達(dá)到將近33000個(gè)。本次攻擊僅做了發(fā)微博、加關(guān)注和發(fā)私信等操作，暫時(shí)沒(méi)有其它惡意行為。

眼前的新浪微博蠕蟲(chóng)事件不禁讓我們又想到2009年的Twitter的蠕蟲(chóng)事件（來(lái)源：http://www.pcworld.com/article/163054/twitter_worm_a_closer_look_at_what_happened.html），二者有很多共同之處，向好友或粉絲發(fā)信息（"中毒"鏈接）、增加關(guān)注度、點(diǎn)擊傳播，雖然沒(méi)有盜取用戶的任何賬戶信息，但卻都給用戶造成了很大的麻煩。此次，web蠕蟲(chóng)同樣利用了新浪微博中某個(gè)頁(yè)面存在的XSS跨站漏洞，導(dǎo)致用戶瀏覽時(shí)執(zhí)行了第三方網(wǎng)站中的惡意腳本，隨后蠕蟲(chóng)繼續(xù)通過(guò)這些用戶進(jìn)行傳播。它利用SNS用戶間的人際關(guān)系、帶有誘惑性字樣的博文，引起別人關(guān)注并點(diǎn)擊，從而得到大范圍的傳播，這是SNS類蠕蟲(chóng)中較為普遍的形式。

本次新浪web蠕蟲(chóng)事件是一個(gè)非存儲(chǔ)型XSS利用，即攻擊串是保存在web服務(wù)端，但是感染受害的是點(diǎn)擊訪問(wèn)的用戶。從安全的角度，新浪的web服務(wù)器端首先是盡快檢測(cè)發(fā)現(xiàn)并清除相應(yīng)的攻擊串，再次是修補(bǔ)其web應(yīng)用程序的XSS漏洞，這是臨時(shí)的應(yīng)急措施，最好今后web運(yùn)營(yíng)中部署目前專業(yè)的web應(yīng)用防火墻設(shè)備進(jìn)行保護(hù)。而作為上網(wǎng)沖浪的用戶，應(yīng)該在客戶端或者網(wǎng)關(guān)處部署專業(yè)的防病毒產(chǎn)品，實(shí)時(shí)檢測(cè)過(guò)濾訪問(wèn)請(qǐng)求的內(nèi)容，以過(guò)濾掉惡意的站點(diǎn)或連接。

隨著互聯(lián)網(wǎng)的普及，我們的工作、生活與互聯(lián)網(wǎng)密不可分，Web應(yīng)用安全的地位也日益重要。此次，新浪web蠕蟲(chóng)事件，雖然僅限于濫發(fā)含毒私信和連接，但是并不是所有的web蠕蟲(chóng)都如此"善良"，利用web蠕蟲(chóng)竊取微博帳戶、竊取用戶信息的事件早就發(fā)生過(guò)，例如2005年，SamyKamkar利用MySpace的漏洞注冊(cè)了會(huì)員，并公開(kāi)所有賬戶資料，然后復(fù)制JavaScript片段到查看過(guò)他資料的用戶賬號(hào)上，繼續(xù)傳遞，于是在24小時(shí)內(nèi)，他的好友達(dá)到100萬(wàn)以上。這些事件無(wú)論是給web經(jīng)營(yíng)者還是web訪問(wèn)者都帶來(lái)了警示，如何保護(hù)web服務(wù)運(yùn)營(yíng)的安全性？如何保護(hù)自身上網(wǎng)的安全性？

安信華公司多年來(lái)致力于web服務(wù)運(yùn)營(yíng)安全和用戶端的上網(wǎng)安全，不僅具有專業(yè)的web應(yīng)用防火墻S系列網(wǎng)關(guān)設(shè)備保護(hù)用戶web服務(wù)的安全運(yùn)營(yíng)，還具有專業(yè)的上網(wǎng)安全設(shè)備，實(shí)時(shí)保護(hù)上網(wǎng)終端的安全性。此次，新浪蠕蟲(chóng)事件，安信華的網(wǎng)絡(luò)安全試驗(yàn)室迅速響應(yīng)，不僅加強(qiáng)關(guān)注其客戶web服務(wù)器的流量安全，還迅速升級(jí)了其上網(wǎng)安全網(wǎng)關(guān)的惡意站點(diǎn)庫(kù)，保護(hù)其用戶上網(wǎng)時(shí)免受新浪web蠕蟲(chóng)的危害。在此，安信華互聯(lián)網(wǎng)安全實(shí)驗(yàn)室的專家提醒客戶遇到此種事情不要驚慌，可以上報(bào)專業(yè)的互聯(lián)網(wǎng)安全機(jī)構(gòu)，也可以征詢專業(yè)人員的服務(wù)幫助，以快速進(jìn)行應(yīng)急處理。