網頁置換率下降 喜訊？警訊？

Zone-H是專門提供網路駭客上網登錄網站安全訊息與各種網站被入侵事件的一個網站。

網站攻擊數呈負成長
在3月初公佈了2007年的網站安全事件統計。有一個有趣的現象，就是對於網站攻
擊的次數比起2006年下降了37%，在2006年總計登錄了752,361次攻擊事件，而2007年僅480,905件，這是近10年來第1次呈現負成長的趨勢。以往每年在網站攻擊事件均有30%的成長率，每個月平均有2,500件的事件通知，雖然在2007年1月的數量有稍微高於平均，那是因為來自於俄羅斯駭客集團大量攻擊事件所導致。我們發現，這些攻擊漸漸轉向成為不再對外公布，偷偷地在網頁內容中加入一兩行的程式碼，以更為隱匿的方法進行利益獲得。
此外，報告中也說明以往大多受害用戶的作業系統是微軟的Windows產品，但隨著
許多伺服器由微軟Windows平台轉移至Linux平台，也讓其受駭比率提高。在2007年Linux 平台被入侵的次數比例約是Windows的2.5 倍（此數據是加總兩方陣營平台的各種版本），這說明了孰優孰劣嗎？其實沒有，網路上還是有人大肆的再把這2個平台拿來討論，不過似乎忽略了被入侵的原因，並非作業系統本身的問題，現在有9成以上都是因為非作業系統的安全漏洞，其中又以應用程式的問題佔6成以上，所以，這個數字僅供了解現在網站被入侵的現象，不需過多的解讀。

攻擊手法大排名
值得探討的是「攻擊手法」，第1名是“Attack against the administrator/user (password stealing/sniffing)”竊取管理者或用戶的帳號密碼，有幾種方式，其一是直接透過其他方法，像是網路釣魚或社交工程，入侵管理者
的個人電腦，竊取相關帳號密碼資訊，另外一種則是從其他網站做資訊拼圖，找到管理者個人用的萬年密碼或密碼排列方式，再進行猜測與破解。第2名是網站沒管好，開放過多分享權限，讓駭客有機可乘直接開門進城。第3名是“File Inclusion”，因為網頁在做檔案引用時，沒有做好保護，或者檔案的副檔名沒有被網頁伺服器處理，導致對方可以直接下載你重要的資訊，再進行運用。看完前3名，現在才輪到我們所熟悉的資料隱碼攻擊(SQL Injection)，是否讓大家有點納悶，
看似沒甚麼重要的竟然都在前3名，但是最常見的資料隱碼攻擊竟然只排得上第4，原因就在於使用此種攻擊手法者，要付出較高的時間成本與技術成本，另外也可能取得更多權限或資料的狀態下，就不再做網頁置換與通報，所以，只能排到第4名。不過，第5名的原因則是令人嘖嘖稱奇，“Access credentials through Man In the Middle attack”透過中間人攻擊方式，躲在2方通訊者的中間，取得有用的存取相關資訊或憑證後，再做網站的攻擊。這種攻擊的成本與技術，可能又更高了
些。
網頁置換率下降是喜訊或警訊？我們分析其原因，現在駭客轉為犯罪集團工作當然不願意再到此公佈；且置換網站(website defacements)已經不是熱門的網路安全議題，從事這種事情的人已經越來越少。但是網路是一直在爆炸成長的，而系統安全
真的有所改善嗎？所以網站被入侵的比率降低？我們認為是通報率的問題，現在的駭客入侵不是為炫耀，而是為了利益、民族主義、政策、宗教因素，現實世界已經搬到網路世界上演。

Hacking for Money
之前也曾經短暫發生過網頁置換率下降現象，巴西駭客之前是非常猖獗的，從事各種破解、網站入侵的活動，這些團體在2005年遭到大力掃蕩之後，許多公開的IRC頻道都逐漸關閉，也曾經造成短暫的Zone-H數字下降的狀況。此後，這些駭客轉入 地下化從事網路釣魚、垃圾郵件與偽造信用卡等犯罪，從Hacking for Fun到Hacking for Money，這也是 台灣駭客元老X先生深沉的心情寫照，他表示現在
「小朋友」逐漸變成「大朋友」，但沒有人告訴他 這樣做是有問題的，甚至也有黑道找上門要求做破解和入侵，很誇張的是很多根本就是小混混假借幫派名義詐騙，用蠅頭小利來吸引這些懂一點技術的人，從事不法Hacking for Money，實在是不足取。