软件安全漏洞问题没有尽头

安全
Metasploit的创始人、漏洞专家H.D.Moore指出,虽然安全软件编程人员做得越来越好,所开发的应用程序bug越来越少,但是应用程序数量的持续增加却导致新型软件漏洞的数量有增无减。

Metasploit的创始人、漏洞专家H.D.Moore指出,虽然安全软件编程人员做得越来越好,所开发的应用程序bug越来越少,但是应用程序数量的持续增加却导致新型软件漏洞的数量有增无减。在2010年RSA会议的采访中,Moore解释了Metasploit怎样帮助人们测试系统、检测新的软件安全漏洞问题,以便在攻击者有机会利用这些漏洞之前搞清楚新漏洞所带来的风险。

您能解释一下Metasploit是如何对软件安全做出贡献的吗?

H.D. Moore:Metasploit是一个寻找漏洞的软件框架,使你可以在渗透测试中利用这些漏洞。它是一个真正由社区主导的开源工具套件。一切始于七年前。每当一个新的漏洞被发现后,我们就会创建一个安全版本来利用它,并把它添加到Metasploit中去,让网络管理员、学生、研究人员以及政府部门都能够对他们的系统进行测试,从而确保他们的产品和系统得到妥善的修补。所以对于我们来说,这相当于一种供应商“相互检测和约束系统”(check and balance system)。如果供应商说,“我已经发布了补丁”,那么你可以用Metasploit来验证你的系统是否安装了这个补丁、补丁是否正常工作等,而不必再去做那些过去必须做的,用来确保补丁正常工作的额外工作。

有人曾担心Metasploit在公开漏洞的整体问题方面不够可靠。您是怎么看的呢?

Moore:可靠的漏洞公开实际上取决于软件供应商。这只涉及到两类人:发现漏洞的人和负责修补漏洞的供应商,而他们双方之间并没有正式的合同。一般的流程是:研究人员发现一个漏洞并指出问题的所在,以及怎样去利用这些漏洞,然后他们会把这个问题告诉供应商和外界,最后供应商修补这个漏洞。Meatsploit其实并没有卷入到这个过程中,我们实际上所做的只是在漏洞披露或者公开之后,让人们能够轻松验证他们的系统是否对这个漏洞免疫,或者让人们知道这个漏洞能够给他们带来的真正影响是什么。

在补丁出现之前,发布漏洞利用程序对软件安全有利吗?

Moore:在真正的漏洞proof-of-concept程序出现之前,人们对“某个漏洞能对系统带来多大影响”的看法只能是猜测而已。有时候你的漏洞表面上看起来非常严重,任何人都好像能在你的电脑上运行代码,但是当你真正坐下来研究这个问题并试图利用它的时候,你会发现这其实有很多的限制。如果你开启了数据执行保护(DEP),那么不管你运行哪种平台、或者使用哪种配置,漏洞都不会带来多大的破坏。所以,如果有一个平台能够测试这些漏洞、并验证这些软件缺点所能造成的影响,那么人们不仅对他们在网络上能做什么更有信心,而且对自己的程序能否正常工作也更有信心。

现在,Metasploit中有多少漏洞利用程序和攻击代码(payload)呢?

Moore:数量每天都会增加几个。我估计我们现在已经有大约530个漏洞利用程序,并且每个漏洞测试都有一个攻击代码。除了这530个利用程序之外,我们还有220个辅助模型(auxiliary module),可以允许你测试配置的错误、进行暴力攻击,并且利用那些不允许代码执行但允许数据访问的漏洞,比如,能够获取某服务器上C盘的内容。我们的Metasploit中除了拥有接近500个不同的CVE(Common Vulnerabilities and Exposures,通用漏洞披露),还有更多的漏洞没有CVE标识。其中,并不是每一个漏洞都进行了分类、或者被标明它是什么以及它意味着什么。

在过去的一年中,很多事情都发生了变化。实际上,你过去常常自己掏钱来支撑Metasploit的开发。在被Rapid7收购之后,这个项目能得到多大的帮助呢? 

Moore:Metasploit可以让我们把更多的资源投入到真正需要的地方,比如QA质量评估、后端自动化,以及数据库模式等。可是,没人愿意碰那些没意思的框架部分,这在过去通常是我的差事,发布一个新的版本常常都指望我一个人。我会花费整个周末来进行测试、安装配置、更新网站等。现在我有了一个团队,这样我可以把工作交给他们,并且能够更快的完成。所以,我希望此次收购对于这个项目来说意味着我们能够更快的更新内容、添加更多的功能,从长远来看,我们还会更频繁的发布更多的版本。

社区对于此次收购是怎么看的呢?有人反对吗?

Moore:随着我们继续推出更多的代码、更多的版本以及更多的功能,我认为怀疑的声音会慢慢减少。我们看到许多新的社区贡献者加入了我们,因为Rapid7能够给这个项目带来稳定。以前,人们可能会在内部使用Metasploit,但并没有人真正认为可以在一年或者两年以后继续指望这个项目。现在,我们有了预算,投入了大量的人力物力来确保Metasploit的成功,更多的人愿意对这个项目作出贡献,因为他们相信Metasploit的前景非常光明。

软件安全性现在有所改观了吗?比如说,微软在安全方面已经做了很多努力,但是每个月还是会发布大量的安全公告。

Moore:实际上,软件安全在细节方面已经改善了很多。对于微软这样的供应商而言,他们在安全问题处理方面有大量的预算,其软件开发周期中也包含了安全周期,这个跟5年前或者10年前的情况相比要好得多了。但问题是现在软件供应商太多,而人们每天的日常生活又过于依赖软件的使用,比如说旅游、上网、预定出租车等等,甚至有时候几乎所有的事情都会用到电脑和软件。而在过去十年中,每家曾指望微软为其解决安全漏洞问题的公司,现在都不得不自己重新再开始做一遍相同的工作。我们之所以有这么多的缺点和漏洞,并不是因为某些供应商做得很差,只是因为软件应用程序的数量每天都在持续增加。  

【编辑推荐】

  1. RSA2010:内部开发软件九成存漏洞
  2. 近九成的web应用程序都存在严重漏洞
责任编辑:许凤丽 来源: TT安全
相关推荐

2014-09-26 09:28:14

Bash漏洞Bash软件安全漏洞

2010-07-26 15:37:12

telnet安全漏洞

2013-01-30 09:56:56

2014-06-03 09:23:41

2014-09-25 13:14:53

2014-06-03 11:36:18

2009-03-07 09:59:16

2020-10-09 09:52:00

漏洞分析

2011-12-26 11:22:48

2021-05-12 10:46:23

漏洞BINDDNS服务器

2021-08-14 20:21:21

漏洞勒索软件攻击

2010-03-05 15:46:05

2022-07-06 11:50:43

漏洞网络攻击

2023-12-31 09:06:08

2014-07-17 21:22:39

2023-09-21 22:34:56

2009-02-13 09:34:35

2014-03-02 15:06:33

2009-05-13 09:49:07

2011-08-08 15:48:08

点赞
收藏

51CTO技术栈公众号