不容忽视的NGO网站安全

它公益 · 发表于 2013-7-12 02:02:39

没有背景，直入正题。

前段时间济溪（www.gsean.org）用户访问济溪时收到“网站含有博彩类信息”的安全警告，甚至不能访问网站。临危受命，和济溪总干事一起查找并解决问题，在服务器上发现大量博彩类广告网页。经过一番折腾，总算是让网站正常运作。

趁热打铁，又顺便分析了NGO行业的众多网站，果然发现了一批存在漏洞的网站。

现将存在的问题大致总结如下：
1、       现在网站大多采用开源框架如DEDECMS, empirecms，pw, dz等，但是采用开源框架的网站没有及时更新漏洞补丁。被大量攻击工具利用。
2、       网站陈旧，几年前的网站，代码质量和安全性都存在严重问题。
3、       网站权限问题，比如开启了网站目录浏览等功能，暴露网站结构和隐私信息。
4、       网站设计问题，NGO很少具有专业的技术人员，网站基本上是外包。如果运气差一点，给了一个不太负责任的技术团队，给攻击者留下漏洞。

对于上述问题造成的影响如下：
1、被恶意挂马，危害网站用户安全
2、被上传诸如博彩、赌博、黄色等恶意信息。（此类情况最普遍。）
3、数据泄露，对于有NGO重要数据的应特别注意
4、  恶意攻击，造成网络数据丢失，网站崩溃。（这种情况比较少见，除非攻击者专门针对网站恶意攻击，但是一旦出现此类情况，而又没有进行数据备份，将造成严重后果。）

总结一些解决办法:
1、针对采用开源框架的网站的，应及时更新官方补丁。
2、很多网站为了保留数据，还留有“旧版”的入口，如果旧版没有维护了建议关闭。
3、网站应该及时维护，特指技术上的维护。
4、可以为网站增加安全措施，如加速乐、安全宝等第三方服务。主要可防SQL注入，同时能提高网站的访问速度。
5、定期为网站做安全监测，如scanv、360网站安全监测等

后话：对于已经监测出有安全漏洞或者已经被挂马的NGO网站，它公益会一一通知并协助处理。

网络没有绝对安全，需要大家平时多注意。

它公益（IT技术支持中心）：http://365it.org
Sina 微博：http://weibo.com/itorg

原文链接：http://365it.org/class/11.html