漏洞:軟件編寫存在bug-中文百科頻道

漢語詞語

詞目：漏洞

拼音：lòu dòng

基本解釋

1. [hole；leak； leakage]∶小孔或縫隙堵塞漏洞。

2. [flaw；weak points；hole； loophole]∶法律、法令、條約或協議中制訂得不周密的地方,破綻要堵住立法中的明顯漏洞。

詳細解釋

1.縫隙；小孔。明陸深《停骖錄摘抄》：“左手關脈滑而緩，肝第四葉有漏洞，下相通。”趙自《第二雙眼睛》：“可以根據水流的方向，摸到進水的漏洞。”

2.破綻，不周密之處。茅盾《霜葉紅似二月花》五：“想來王伯申也很精明，這件事他一定另有布置，漏洞是早已補好了的。”周而複《上海的早晨》第四部十三：“總經理想的實在周密極了，一點漏洞也沒有。”

信息技術概念

漏洞是指一個系統存在的弱點或缺陷，系統對特定威脅攻擊或危險事件的敏感性，或進行攻擊的威脅作用的可能性。漏洞可能來自應用軟件或操作系統設計時的缺陷或編碼時産生的錯誤，也可能來自業務在交互處理過程中的設計缺陷或邏輯流程上的不合理之處。這些缺陷、錯誤或不合理之處可能被有意或無意地利用，從而對一個組織的資産或運行造成不利影響，如信息系統被攻擊或控制，重要資料被竊取，用戶數據被篡改，系統被作為入侵其他主機系統的跳闆。從目前發現的漏洞來看，應用軟件中的漏洞遠遠多于操作系統中的漏洞，特别是WEB應用系統中的漏洞更是占信息系統漏洞中的絕大多數。

一、漏洞與具體系統環境之間的關系及其時間相關特性

漏洞會影響到很大範圍的軟硬件設備，包括作系統本身及其支撐軟件，網絡客戶和服務器軟件，網絡路由器和安全防火牆等。換而言之，在這些不同的軟硬件設備中都可能存在不同的安全漏洞問題。在不同種類的軟、硬件設備，同種設備的不同版本之間，由不同設備構成的不同系統之間，以及同種系統在不同的設置條件下，都會存在各自不同的安全漏洞問題。

漏洞問題是與時間緊密相關的。一個系統從發布的那一天起，随着用戶的深入使用，系統中存在的漏洞會被不斷暴露出來，這些早先被發現的漏洞也會不斷被系統供應商發布的補丁軟件修補，或在以後發布的新版系統中得以糾正。而在新版系統糾正了舊版本中具有漏洞的同時，也會引入一些新的漏洞和錯誤。因而随着時間的推移，舊的漏洞會不斷消失，新的漏洞會不斷出現。漏洞問題也會長期存在。

因而脫離具體的時間和具體的系統環境來讨論漏洞問題是毫無意義的。隻能針對目标系統的作系統版本、其上運行的軟件版本以及服務運行設置等實際環境來具體談論其中可能存在的漏洞及其可行的解決辦法。

同時應該看到，對漏洞問題的研究必須要跟蹤當前最新的計算機系統及其安全問題的最新發展動态。這一點如同對計算機病毒發展問題的研究相似。如果在工作中不能保持對新技術的跟蹤，就沒有談論系統安全漏洞問題的發言權，即使是以前所作的工作也會逐漸失去價值。

二、漏洞的危害及防範

漏洞的存在，很容易導緻黑客的侵入及病毒的駐留，會導緻數據丢失和篡改、隐私洩露乃至金錢上的損失，如：網站因漏洞被入侵，網站用戶數據将會洩露、網站功能可能遭到破壞而中止乃至服務器本身被入侵者控制。目前數碼産品發展，漏洞從過去以電腦為載體延伸至數碼平台，如手機二維碼漏洞，安卓應用程序漏洞等等...

分類

蒼蠅不盯無縫的蛋，入侵者隻要找到複雜的計算機網絡中的一個縫，就能輕而易舉地闖入系統。所以了解這些縫都有可能在哪裡，對于修補它們至關重要。通常裂縫主要表現在軟件編寫存在bug、系統配置不當、口令失竊、明文通訊信息被監聽以及初始設計存在缺陷等方面。

軟件編寫存在bug

無論是服務器程序、客戶端軟件還是操作系統，隻要是用代碼編寫的東西，都會存在不同程度的bug。Bug主要分為以下幾類：

(1)、緩沖區溢出：指入侵者在程序的有關輸入項目中了輸入了超過規定長度的字符串，超過的部分通常就是入侵者想要執行的攻擊代碼，而程序編寫者又沒有進行輸入長度的檢查，最終導緻多出的攻擊代碼占據了輸入緩沖區後的内存而執行。别以為為登錄用戶名留出了200個字符就夠了而不再做長度檢查，所謂防小人不防君子，入侵者會想盡一切辦法嘗試攻擊的途徑的。

(2)、意料外的聯合使用問題：一個程序經常由功能不同的多層代碼組成，甚至會涉及到最底層的操作系統級别。入侵者通常會利用這個特點為不同的層輸入不同的内容，以達到竊取信息的目的。例如：對于由Perl編寫的程序，入侵者可以在程序的輸入項目中輸入類似“mail

(3)、不對輸入内容進行預期檢查：有些編程人員怕麻煩，對輸入内容不進行預期的匹配檢查，使入侵者輸送炸彈的工作輕松簡單。

(4)Raceconditions：多任務多線程的程序越來越多，在提高運行效率的同時，也要注意Raceconditions的問題。比如說：程序A和程序B都按照“讀/改/寫”的順序操作一個文件，當A進行完讀和改的工作時，B啟動立即執行完“讀/改/寫”的全部工作，這時A繼續執行寫工作，結果是A的操作沒有了表現!入侵者就可能利用這個處理順序上的漏洞改寫某些重要文件從而達到闖入系統的目的，所以，編程人員要注意文件操作的順序以及鎖定等問題。

系統配置不當

(1)、默認配置的不足：許多系統安裝後都有默認的安全配置信息，通常被稱為easy to use。但遺憾的是，easy to use還意味着easy to break in。所以，一定對默認配置進行揚棄的工作。

(2)、管理員懶散：懶散的表現之一就是系統安裝後保持管理員口令的空值，而且随後不進行修改。要知道，入侵者首先要做的事情就是搜索網絡上是否有這樣的管理員為空口令的機器。

(3)、臨時端口：有時候為了測試之用，管理員會在機器上打開一個臨時端口，但測試完後卻忘記了禁止它，這樣就會給入侵者有洞可尋、有漏可鑽。通常的解決策略是：除非一個端口是必須使用的，否則禁止它!一般情況下，安全審計數據包可用于發現這樣的端口并通知管理者。

(4)、信任關系：網絡間的系統經常建立信任關系以方便資源共享，但這也給入侵者帶來隔山打牛、間接攻擊的可能，例如，隻要攻破信任群中的一個機器，就有可能進一步攻擊其他的機器。所以，要對信任關系嚴格審核、确保真正的安全聯盟。

口令失竊

(1)、弱不禁破的口令：就是說雖然設置了口令，但卻簡單得再簡單不過，狡猾的入侵者隻需吹灰之力就可破解。

(2)、字典攻擊：就是指入侵者使用一個程序，該程序借助一個包含用戶名和口令的字典數據庫，不斷地嘗試登錄系統，直到成功進入。毋庸置疑，這種方式的關鍵在于有一個好的字典。

(3)、暴力攻擊：與字典攻擊類似，但這個字典卻是動态的，就是說，字典包含了所有可能的字符組合。例如，一個包含大小寫的4字符口令大約有50萬個組合，1個包含大小寫且标點符号的7字符口令大約有10萬億組合。對于後者，一般的計算機要花費大約幾個月的時間才能試驗一遍。看到了長口令的好處了吧，真正是一兩撥千斤啊!

嗅探未加密通訊數據

(1)、共享介質：傳統的以太網結構很便于入侵者在網絡上放置一個嗅探器就可以查看該網段上的通訊數據，但是如果采用交換型以太網結構，嗅探行為将變得非常困難。

(2)、服務器嗅探：交換型網絡也有一個明顯的不足，入侵者可以在服務器上特别是充當路由功能的服務器上安裝一個嗅探器軟件，然後就可以通過它收集到的信息闖進客戶端機器以及信任的機器。例如，雖然不知道用戶的口令，但當用戶使用Telnet軟件登錄時就可以嗅探到他輸入的口令了。

(3)、遠程嗅探：許多設備都具有RMON(Remotemonitor，遠程監控)功能以便管理者使用公共體字符串(publiccommunitystrings)進行遠程調試。随着寬帶的不斷普及，入侵者對這個後門越來越感興趣了。

設計存在缺陷

(1)、TCP/IP協議的缺陷:TCP/IP協議現在已經廣為應用、但是它設計時卻是在入侵者猖狂肆虐的今天之很早以前設計出來的。因此，存在許多不足造成安全漏洞在所難免，例如smurf攻擊、ICMPUnreachable數據包斷開、IP地址欺騙以及SYNflood。然而，最大的問題在于IP協議是非常容易“輕信”的，就是說入侵者可以随意地僞造及修改IP數據包而不被發現。現在Ipsec協議已經開發出來以克服這個不足,但還沒有得到廣泛的應用。

系統攻擊

系統攻擊是指某人非法使用或破壞某一信息系統中的資源，以及非授權使系統喪失部分或全部服務功能的行為。

通常可以把攻擊活動大緻分為遠程攻擊和内部攻擊兩種。現在随着互聯網絡的進步，其中的遠程攻擊技術得到很大發展，威脅也越來越大，而其中涉及的系統漏洞以及相關的知識也較多，因此有重要的研究價值。

系統漏洞

概況

系統漏洞是指應用軟件或操作系統軟件在邏輯設計上的缺陷或在編寫時産生的錯誤，這個缺陷或錯誤可以被不法者或者電腦黑客利用，通過植入木馬、病毒等方式來攻擊或控制整個電腦，從而竊取您電腦中的重要資料和信息，甚至破壞您的系統。

原理

windows系統漏洞問題是與時間緊密相關的。一個windows系統從發布的那一天起，随着用戶的深入使用，系統中存在的漏洞會被不斷暴露出來，這些早先被發現的漏洞也會不斷被系統供應商：微軟公司發布的補丁軟件修補，或在以後發布的新版系統中得以糾正。而在新版系統糾正了舊版本中具有漏洞的同時，也會引入一些新的漏洞和錯誤。

因而随着時間的推移，舊的系統漏洞會不斷消失，新的系統漏洞會不斷出現。系統漏洞問題也會長期存在。

微軟安全公告

2014年2月12日淩晨，微軟發布7個漏洞補丁，包括4個“嚴重”級别的補丁和3個“重要”級别的漏洞。分别修複了Internet Explorer、.Net、Windows中存在的多個漏洞和一個Windows8專屬漏洞。

2014年1月16日，發布1月安全公告，其中4個漏洞補丁級别均為“重要”，它們分别修複了MS Office Word、Windows 7内核和舊版本Windows 内核驅動中存在的多個遠程代碼執行和提權漏洞。同時推送的還有Adobe Flash Player 12的版本更新安裝包及Adobe Reader安全更新。

微軟一般在每月第二周的周二發布安全公告，被稱為“補丁星期二”。