Nginx驚現漏洞百萬網站面臨“拖庫”風險

據瑞星網際網路攻防實驗室近日出具的一份報告顯示，國際知名的伺服器Nginx存在緩衝區溢位漏洞，目前利用該漏洞進行網路攻擊的惡意程式已經在網際網路上出現。屆時，使用Nginx伺服器的網際網路平臺將面臨使用者資訊被盜、商業機密洩露等危險。瑞星安全專家提醒廣大網站管理員及時到Nginx的官方網站下載最新的補丁程式，以避免可能遭遇的“拖庫”威脅。

　　瑞星安全專家介紹，所謂緩衝區溢位，就是指程式執行時，向預留的緩衝區填充了過量的資料而導致資料溢位。而緩衝區溢位漏洞，就是由緩衝區溢位引起的程式崩潰或程式轉而執行其它指令。針對本次Nginx的漏洞，黑客可以通過精心構造的特定請求觸發該漏洞，並通過棧溢位的方式執行任意程式碼。目前可以利用該漏洞的程式已經在開源漏洞檢測工具Metasploit中新增，黑客可以通過該工具實現漏洞攻擊，並向目標伺服器提取許可權，盜取資料庫中的任意資訊。

　　據悉，Nginx是一款輕量級高效能的HTTP和反向代理伺服器。由於效能強大、系統資源消耗低、執行穩定等特點，使得許多大型入口網站都使用該產品作為Web伺服器或反向代理伺服器。目前，已有100多萬家網站在使用Nginx伺服器，其中不乏包括新浪、網易、騰訊、豆瓣、迅雷線上等在內的多家大型網際網路平臺。因此，瑞星安全專家再次提醒，廣大網站管理員應儘快將Nignx伺服器更新到最新的穩定版本。