拒绝“躺着中枪” 360网站安全新增“旁注”检测

一直以来，很多网站站长都有这样的疑问：为什么用了专业的Web安全服务和“防注”程序，使用Web安全扫描器也没有发现漏洞，但网站依然会被黑?

其实，这种情况大多来自“旁注”攻击。也就是说，黑客攻击同一服务器上其他存在漏洞的网站，并获取服务器最高管理员权限，进而对目标网站形成威胁。对此，360网站安全检测近日进行了专项升级，加入“旁注”检测功能，直观的告诉站长自身网站所在服务器的整体安全情况，为站长选择安全的主机服务商提供重要依据。

360网站安全检测平台服务网址：http://webscan.360.cn

据了解，“旁注”一般以虚拟主机作为攻击对象。其原理是利用同一主机上其他站点的安全漏洞，获取服务器上的一个Webshell(Web后门程序)，从而获取一定的服务器操作权限，进而利用虚拟目录权限的配置不严格或者“提权”攻击获取管理员权限后，再跳转到目标网站的Web虚拟目录中，实现窃取信息，篡改内容的操作。

“‘旁注’攻击看似曲折，却非常有效。”360网站安全工程师表示。“很多站长出于省钱的考虑，从而选择成本较低的虚拟主机服务，而提供商会在一台或多台服务器上为站长分配一定的硬盘与数据库等存储资源，不过服务器与服务都是共享的，这就造成了‘一漏百漏’的安全隐患。黑客在攻击目标网站无果时，通常会采用这种曲线方式多次尝试。”

图1：黑客可通过一些查询网站轻易获得目标站点信息

那么，黑客如何得到同一主机上其他的站点信息呢?原来，目前网络上存在很多通过主机IP反向查询绑定域名情况的站点，比如国外十分有名的WebHosting，以及国内的一些类似站点，黑客获取站点信息可谓轻而易举。

可见，站长可以为自己的网站打造安全的防御机制，但是却无法控制虚拟主机提供商，及同服务器的其他网站的安全。如今随着360网站安全检测“旁注”风险，这个难题得以迎刃而解。

图2：360网站安全检测新增“旁注”检测功能

通过360网站安全检测服务，站长可以查询网站所在的虚拟主机上是否有其他域名存在安全风险(图3)。一旦发现自身网站可能遭到“旁注”攻击，站长可以督促虚拟主机提供商进行防范，或者选择安全性更高的虚拟主机提供商。

图3：同一虚拟主机安全性一目了然

360安全专家表示，Web安全是一个整体，它不仅仅是由于单纯的Web漏洞所导致，还有很多类似“旁注”攻击这样的安全隐患所影响，360网站安全检测平台会逐步的完善Web安全检测策略，为广大网站提供360度的安全保障。

360网站安全检测平台服务网址：http://webscan.360.cn