【IT商業(yè)新聞網(wǎng)訊】4月9日消息，360網(wǎng)站安全檢測平臺今日發(fā)布漏洞警報稱，國內(nèi)300余家大中型網(wǎng)站由于SVN使用不當(dāng)，導(dǎo)致網(wǎng)站存在源代碼泄露隱患。一旦該漏洞被黑客利用，不僅這些網(wǎng)站會蒙受嚴(yán)重的經(jīng)濟(jì)損失，數(shù)千萬網(wǎng)民的帳號密碼和個人資料可能也因此被黑客盜取。目前，360已向存在漏洞的網(wǎng)站發(fā)出報警郵件，并提供修復(fù)方案。
360網(wǎng)站安全檢測平臺服務(wù)網(wǎng)址：http://webscan.#
據(jù)介紹，SVN（subversion）是程序員常用的源代碼版本管理軟件。一旦網(wǎng)站出現(xiàn)SVN漏洞，其危害遠(yuǎn)比SQL注入等其它常見網(wǎng)站漏洞更為致命，因為黑客獲取到網(wǎng)站源代碼后，一方面是掠奪了網(wǎng)站的技術(shù)知識資產(chǎn)，另一方面，黑客還可通過源代碼分析其它安全漏洞，從而對網(wǎng)站服務(wù)器及用戶數(shù)據(jù)造成持續(xù)威脅。
圖1：svn及entries文件夾暴露于外網(wǎng)環(huán)境
經(jīng)360安全工程師分析，造成SVN源代碼漏洞的主要原因是管理員操作不規(guī)范。"在使用SVN管理本地代碼過程中，會自動生成一個名為.svn的隱藏文件夾，其中包含重要的源代碼信息。但一些網(wǎng)站管理員在發(fā)布代碼時，不愿意使用'導(dǎo)出'功能，而是直接復(fù)制代碼文件夾到WEB服務(wù)器上，這就使.svn隱藏文件夾被暴露于外網(wǎng)環(huán)境，黑客可以借助其中包含的用于版本信息追蹤的'entries'文件，逐步摸清站點結(jié)構(gòu)。"
圖2：源代碼文件副本暴露于外網(wǎng)環(huán)境
更嚴(yán)重的問題在于，SVN產(chǎn)生的.svn目錄下還包含了以.svn-base結(jié)尾的源代碼文件副本（低版本SVN具體路徑為text-base目錄，高版本SVN為pristine目錄），如果服務(wù)器沒有對此類后綴做解析，黑客則可以直接獲得文件源代碼。
鑒于SVN源代碼漏洞存在巨大風(fēng)險，360網(wǎng)站安全檢測平臺已第一時間向存在漏洞的網(wǎng)站發(fā)送了報警郵件，并提供了修復(fù)建議：
一、立即刪除各級目錄下的.svn文件夾，并且在今后的svn代碼上線操作中使用其自帶的導(dǎo)出"Export"功能。
二、使用svn1.7及以上版本。
推薦閱讀
太平洋直購拉大學(xué)生搞傳銷 學(xué)校發(fā)警情通報
南昌大學(xué)雖沒有在正式場合直接認(rèn)定太平洋直購是傳銷，但已把它當(dāng)做傳銷組織進(jìn)行了處理。南昌大學(xué)一名工作人員說，南昌大學(xué)校長周文斌曾表態(tài)：在學(xué)校里，堅決不允許學(xué)生搞太平洋直購。甚至還有教職人員爆料稱江西省副>>>詳細(xì)閱讀
本文標(biāo)題：360發(fā)布漏洞警報：300余家網(wǎng)站存源代碼泄露風(fēng)險
地址：http://m.sh-jijian.com/a/guandian/yejie/20111230/159387.html
網(wǎng)友點評
精彩導(dǎo)讀
科技快報
品牌展示