| 摘要：微博以飞快的传播速度，以及开放、即时性同样产生了巨大的社会影响力，而我们每天在“玩”的微博突然间反客为主了，自动发博文、私信而引发了一场“微地震”。微博是无意识的，然而这个事件背后的操纵者是谁，这个事件是否已平息，都足以引起网民、微博厂商、安全厂商的警觉，我国安全预警机制正面临着新的考验。 |
蠕虫爬过——安全厂商感受“余震”
微博有开放性、即时性等特点，加上飞快的传播速度，其巨大力量也在此突发事件中得以体现，其影响也随之扩大。目前，以微博为代表的新型社交媒体逐步走向人们生活的方方面面，社会影响力不容忽视。“社交媒体具有用户交互性强、第三方应用授权等特点”，360安全专家表示，包括Facebook、Twitter等国际知名网站都无法避免此类安全事故。
那么，“微博病毒”到底是个什么“毒”?经360安全中心技术验证，这其实是一个利用新浪网页漏洞而传播的“微博蠕虫”，其传播原理是利用XSS蠕虫跨站漏洞攻击，“这只是黑客恶作剧行为，并不会真的让中招电脑感染病毒”，点击恶意网址并不会使电脑中毒或导致密码失窃。据悉，目前该恶意网址已失效。用户只需删除恶意博文即可。
对于各安全厂商来说，“微博病毒”可能并非普通的“病毒”。金山安全专家李铁军表示，目前的安全厂商有能力解决XSS漏洞被利用的问题，现有的防御系统是可以防止网民点击攻击链接跳转到挂马网址或钓鱼网址的。“然而，从根本上杜绝XSS漏洞攻击，难度要大的多，需要互联网企业的开发人员更加重视代码安全”。江民反病毒专家戴硕也称：“近年来，国内外的著名社交网站几乎都遭遇过XSS蠕虫的攻击，新浪XSS蠕虫并不是国内的第一个XSS蠕虫，相信也不会是最后一个。”由此可见，“微博病毒”在给各大安全厂商敲响了警钟的同时，也为其提供了一个更为广阔的开拓空间，卡巴斯基产品部经理高袆玮认为：“社交网站安全防护并算不上是安全厂商的蓝海，但却是每一个安全厂商都必须给予足够重视的一个应用领域。”
“对于社交媒体本身来说，需要建立起快速响应和严格审计的流程体系”，360安全专家称：“把用户风险控制到最低是核心任务。”李铁军则建议，社交媒体可以尝试与安全厂商合作解决钓鱼欺诈，以及利用短址传播恶意链接的问题。“直接在服务端进行有害网址的筛选意义更大，即让用户前台感觉不到视觉体验的异常，还能成功过滤恶意链接”。高袆玮认为，社交网站在提高自身安全意识的同时，给予用户足够的安全提示很重要。除此之外，戴硕还强调，社交网络应加强信息发布的验证机制，从“百密一疏”做到“滴水不漏”。
“蠕虫”爬过，安全厂商同样感受到了“微地震”后的余震，如何走好未来的路值得深思。360安全专家表示：“安全厂商应客观、严谨地发布安全警报，对受影响的用户提出处理措施和预防建议，不可随意夸大危害来推销产品。”高袆玮称：“安全厂商应该加强对社交网站的关注，及时预警。”同时，产品、技术的创新对于新的互联网环境下的安全厂商来说，意义更为重大。
评论表单加载中...
