?現(xiàn)在，勒索病毒、惡意掛馬、大規(guī)模數(shù)據(jù)泄露等網(wǎng)絡(luò)攻擊的目標(biāo)也漸漸由商業(yè)網(wǎng)站波及校園網(wǎng)絡(luò)。高校網(wǎng)絡(luò)中的商業(yè)機(jī)密等內(nèi)容雖少，但許多國(guó)家重點(diǎn)課題、國(guó)防工業(yè)項(xiàng)目等相關(guān)信息價(jià)值極大。一旦高校關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)被攻陷，也會(huì)直接將大量教學(xué)電腦和學(xué)生自用筆記本等計(jì)算機(jī)暴露在網(wǎng)絡(luò)攻擊之下。因此，在高校網(wǎng)絡(luò)的運(yùn)維過程中，對(duì)各類網(wǎng)絡(luò)安全威脅絕不可掉以輕心。
2016年底，我們對(duì)北京市某些高校網(wǎng)絡(luò)進(jìn)行了安全滲透測(cè)試，其內(nèi)容包括Web站點(diǎn)、服務(wù)器配置、無線WiFi接入、校園卡設(shè)備等，發(fā)現(xiàn)其中存在諸多安全問題，可分為幾類，參見表1。
Web站點(diǎn)安全問題調(diào)查
在表1中，我們將高校網(wǎng)絡(luò)漏洞分為三大類，其中前兩類均為Web站點(diǎn)中存在的安全問題。在幾個(gè)月的時(shí)間里，我們對(duì)相關(guān)網(wǎng)絡(luò)通信數(shù)據(jù)進(jìn)行采集，結(jié)合手動(dòng)攻擊測(cè)試，得出安全審計(jì)結(jié)果。
在高校網(wǎng)絡(luò)通信數(shù)據(jù)中，活躍端口主要分布在http所在的80端口、https所在的443端口、FTP服務(wù)所在的21端口、ssh所在的22端口。由圖1可以看出，高校網(wǎng)絡(luò)中通信數(shù)據(jù)以Web數(shù)據(jù)為主，其中http數(shù)據(jù)占多數(shù)。
編寫針對(duì)性工具及使用開源工具對(duì)網(wǎng)站進(jìn)行自動(dòng)化掃描，可以發(fā)現(xiàn)的漏洞數(shù)量如圖2所示，其中低危漏洞占大部分。高危漏洞在自動(dòng)化掃描中往往很難暴露，需要測(cè)試者手動(dòng)攻擊才能得出。
對(duì)站點(diǎn)進(jìn)行手動(dòng)攻擊，綜合利用數(shù)據(jù)嗅探、腳本爆破、參數(shù)注入等方式，發(fā)現(xiàn)站點(diǎn)多個(gè)中高危安全漏洞。其中包括XSS攻擊、SQL注入、仿冒登錄、URL重定向等，如被攻擊者利用，可造成嚴(yán)重安全危害。
按照漏洞類型，將發(fā)現(xiàn)的安全漏洞統(tǒng)計(jì)如圖3所示。
對(duì)高校網(wǎng)站安全狀況進(jìn)行統(tǒng)計(jì)，結(jié)果如圖4所示?？梢钥闯?，大多數(shù)網(wǎng)站以信息泄露和低危漏洞為主，也有個(gè)別站點(diǎn)安全性較差，存在多個(gè)高危漏洞。
WiFi與校園卡安全問題
校園WiFi與校園卡均是校園生活中不可或缺的重要部分，無線上網(wǎng)、刷卡消費(fèi)、刷卡認(rèn)證等行為是每天都會(huì)遇到的。近年來，WiFi遭遇監(jiān)聽、身份仿冒、拒絕服務(wù)等攻擊層出不窮，各類智能卡遭遇盜刷、數(shù)據(jù)修改等也屢見報(bào)端。我們?cè)谶@兩個(gè)方面進(jìn)行了針對(duì)性攻擊測(cè)試，發(fā)現(xiàn)多個(gè)安全問題。
WiFi存在蹭網(wǎng)及監(jiān)聽風(fēng)險(xiǎn)
校園網(wǎng)WiFi服務(wù)是通過用戶名口令來認(rèn)證用戶，從而為用戶開通上網(wǎng)權(quán)限的，但某些計(jì)費(fèi)系統(tǒng)認(rèn)證規(guī)則和DHCP服務(wù)中存在疏漏，可導(dǎo)致沒有上網(wǎng)賬號(hào)和口令的用戶惡意蹭網(wǎng)。在同一子網(wǎng)的WiFi環(huán)境下，可以很容易通過ARP掃描，探測(cè)到其他上網(wǎng)設(shè)備的IP和MAC地址。設(shè)備網(wǎng)卡的MAC地址很容易被修改仿冒，惡意用戶可以在探測(cè)到IP和MAC地址后，將自己的MAC地址改為已連網(wǎng)的MAC地址，然后請(qǐng)求DHCP服務(wù)器為自己重新分配IP，達(dá)到蹭網(wǎng)目的，如圖5所示。
在某高校網(wǎng)絡(luò)中，使用明文做為WiFi用戶下線指令。下線過程指令簡(jiǎn)單，且下線過程中，服務(wù)器只根據(jù)發(fā)送數(shù)據(jù)的用戶IP進(jìn)行識(shí)別，未對(duì)用戶身份進(jìn)行合法性校驗(yàn)，因此用戶在上網(wǎng)過程中易受強(qiáng)制下線攻擊。甚至在攻擊者掃描獲取局域網(wǎng)中所有在線IP和MAC地址后，結(jié)合中間人攻擊可造成大面積斷網(wǎng)。
WiFi存在地址耗盡及偽造攻擊
DHCP服務(wù)配置中存在缺陷可能導(dǎo)致地址池耗盡和DHCP服務(wù)器偽造攻擊。步驟如下：首先通過偽造MAC地址耗竭正常的DHCP服務(wù)器的IP地址池，然后攻擊者用自己的主機(jī)偽造一個(gè)DHCP服務(wù)器，那么新連上內(nèi)網(wǎng)的主機(jī)只能使用流氓DHCP服務(wù)器分配的IP，以及攻擊者指定的網(wǎng)關(guān)、DNS服務(wù)器，這樣攻擊者的主機(jī)就變成了內(nèi)網(wǎng)網(wǎng)關(guān)，可以借此控制內(nèi)網(wǎng)中其他主機(jī)的網(wǎng)絡(luò)流量。
學(xué)生校園水卡可被復(fù)制偽造
某學(xué)生宿舍的水卡使用了NXP的Mifare Classic卡，該卡型存在多個(gè)算法漏洞，已被公認(rèn)為不安全卡種，容易被解密復(fù)制甚至偽造數(shù)據(jù)。
攻擊者可采用Prox Mark3，還原卡內(nèi)密鑰，根據(jù)密鑰獲取卡內(nèi)數(shù)據(jù);使用空白M1S50卡或UID卡，可以把數(shù)據(jù)寫入新的卡片，完成水卡復(fù)制，經(jīng)測(cè)試可以正常刷卡。進(jìn)一步，也可以根據(jù)數(shù)據(jù)格式，修改卡片數(shù)據(jù)，為卡片充值，如圖6所示。
當(dāng)前高校網(wǎng)絡(luò)安全威脅形勢(shì)不容樂觀，多個(gè)方面存在較嚴(yán)重的安全問題。網(wǎng)絡(luò)管理部門應(yīng)重視網(wǎng)絡(luò)安全態(tài)勢(shì)，不僅要確保校園網(wǎng)絡(luò)功能的可用、保證服務(wù)正常運(yùn)行，也需加大對(duì)安全威脅的防治。并引入滲透測(cè)試等手段，針對(duì)目前影響范圍較廣的各類安全威脅進(jìn)行有效治理，以確保高校網(wǎng)絡(luò)的安全、有序運(yùn)行。
(作者單位吳中超為信息工程大學(xué)，汪志偉、張少杰為清華大學(xué))
