恶意行为者如何通过攻击利用应用漏洞

F5生态系统 | 2022年10月11日

Frank Kyei-Manu

如今，许多应用由小型容器集群构建而成，并部署在多个不同位置。这种分布式方式有助于提升性能和韧性，但也增加了应用保护的难度和复杂性。

与此同时，针对应用及其生态系统的攻击日益普遍，手段也愈加复杂。

网络犯罪分子经常利用应用漏洞，并轻易绕过许多安全控制措施。随着组织不断提高警惕并增强应对持续演变威胁的韧性，了解网络犯罪分子的思维方式、运作手段以及利用应用的方式至关重要。

网络犯罪分子逐利而动

请注意，攻击者本身不必具备高深的技术能力，因为他们可以使用大量免费工具和服务，并经常相互分享。

他们通常抱着逐利心态。在数字经济中，这意味着他们会以Web和移动应用为目标，利用其中的漏洞并滥用应用逻辑来获取访问权限。

网络犯罪分子会持续扫描应用弱点，并寻找开放或防护薄弱的应用网关。以下是三种典型攻击（按复杂程度和目标潜在价值从低到高排列）：

常见攻击以已知漏洞为目标，例如OWASP 十大 Web 应用安全风险中列出的漏洞。
零日攻击以尚未发现或预料到的漏洞为目标。
高级持续性攻击是复杂的攻击活动，甚至可能由国家支持。

还需要注意的是，网络攻击不仅以Web和移动应用为目标，还会针对服务器基础设施、数据和设备。本文将重点讨论应用，并进一步介绍一些较为常见的攻击。

应用是攻击目标的富集区

攻击者利用应用发起攻击，因为应用是获取海量宝贵数据的入口，而网络犯罪分子可利用这些数据将其武器化并牟利。

黑客的攻击目标包括应用代码本身、承载应用的服务器基础设施，以及为应用扩展功能的附加组件（如代码库或插件）。

根据F5 Labs的《2022年应用保护报告》，与访问相关的入侵（包括网络钓鱼、凭据填充和注入攻击）是主要攻击途径，约占所有Web应用入侵事件的25%。恶意软件紧随其后，占Web应用入侵事件的24%。如前所述，这些应用攻击旨在以最容易的方式获取您最有价值的数据。

应用攻击造成的严重影响

下面快速了解一种基本注入攻击的常见场景。攻击者首先发起一系列自动侦察扫描，利用机器人扩大扫描规模并查找漏洞：

攻击者发现一个突破口，通常是应用中未受保护的入口或访问点。
随后，攻击者利用该漏洞注入恶意代码（恶意软件），建立立足点，以便远程执行命令。
恶意代码一旦运行，攻击者很可能会设法获取更多访问权限，以便进一步渗透、实施命令与控制、开展侦察或间谍活动，或实施盗窃。
应用及其底层数据现已遭到入侵。

上述场景非常简单。注入攻击往往要复杂得多，威胁也更大。试想，攻击者注入一条命令，删除应用中的所有数据，导致数字产品或服务完全中断；或者注入一条命令，暴露信用卡数据库表。

此类攻击可能造成严重后果。应用中断可能导致收入损失和声誉受损，并产生数百万美元的修复成本。对消费者而言，这可能意味着糟糕的用户体验，甚至个人信息被盗。

了解其他常见攻击类型

攻击者攻破应用后，通常会通过Web应用利用浏览器漏洞。其目的可能是窃取用户凭据，以便随后接管账户，也可能是直接实时接管用户会话。

攻击者还可以在受害者的浏览器中运行恶意代码（通常称为表单劫持），提交看似来自真实用户的虚假请求。这可能给个人和组织带来严重后果：个人身份可能被用于欺诈性开户或信贷申请，而组织往往不得不承担由此造成的损失。因此，无论是个人使用还是工作用途，每个人都必须防范网络钓鱼，并且绝不重复使用密码。

另一种广泛使用的攻击是拒绝服务（DoS）攻击。它通过机器人自动发送大量请求，使应用承受压力，导致应用运行缓慢，甚至无法正常工作。源自多台计算机（称为僵尸网络）的分布式拒绝服务（DDoS）攻击通常更为有效。僵尸网络中的节点（即计算机）往往是感染了恶意软件的消费者设备。这进一步凸显了保护设备免受恶意软件和其他网络攻击的重要性。

尽管网络犯罪分子的动机和攻击方式各不相同，但基本了解这些常见攻击类型及其防范方法会有所帮助。

每个人都能为网络防御贡献力量。在下方视频中，我们将简要介绍如何防范网络钓鱼、短信钓鱼，以及恶意行为者常用于攻击应用的常见社会工程手段。