根據(jù)F-Secure公司最新研究發(fā)現(xiàn)，SEO(搜索引擎優(yōu)化)中毒攻擊正在逐漸發(fā)展，而且這種攻擊正變得越來越危險(xiǎn)。然而，很多最終用戶和一些網(wǎng)絡(luò)管理員甚至都還不知道這種威脅的存在。那么，如何在不影響用戶使用互聯(lián)網(wǎng)搜索功能的前提下，保護(hù)企業(yè)免受SEO中毒攻擊呢？這是本文需要解決的問題。

搜索引擎的普及

網(wǎng)絡(luò)上信息量非常巨大，如果沒有搜索引擎，用戶將很難找到自己需要的東西。從第一個(gè)互聯(lián)網(wǎng)搜索工具Archie出現(xiàn)以來，我們走過了很漫長的路，早期的搜索引擎隨后讓路給“爬行式”類型的搜索引擎，而爬行式搜索引擎從最開始的WebCrawler，然后再到Magellan、Excite、AltaVista和Yahoo!。而自2000年以來，谷歌從開始統(tǒng)領(lǐng)搜索行業(yè)，雖然最近谷歌受到微軟Bing的挑戰(zhàn)，但似乎也未能撼動(dòng)谷歌在搜索界的地位。

有了所有這些搜索引擎，以及每天返回?cái)?shù)百萬搜索結(jié)果，這也成為攻擊者誘人的攻擊目標(biāo)。其中攻擊者發(fā)動(dòng)攻擊或者傳播惡意軟件所使用的最普遍的方法就是引誘不知情的網(wǎng)絡(luò)用戶到包含惡意代碼的網(wǎng)站。除了能夠?qū)⒂脩糁苯訋У綈阂饩W(wǎng)站外，SEO中毒攻擊還能夠在受歡迎的合法網(wǎng)站使用跨站腳本攻擊技術(shù)。攻擊者如何為他們的惡意網(wǎng)站獲取更多的流量而不是通過操作搜索引擎，以讓攻擊者的網(wǎng)址來替代位于搜索結(jié)果前列的合法網(wǎng)站的網(wǎng)址》

搜索引擎優(yōu)化的工作原理

SEO技術(shù)是指合法網(wǎng)站為了增加其網(wǎng)站流量和使用的搜索引擎優(yōu)化技術(shù)。當(dāng)用戶使用搜索引擎搜索某關(guān)鍵字或者短語時(shí)，他通常只會(huì)看搜索結(jié)果的第一頁或者前兩頁，所以說，網(wǎng)站在搜索結(jié)果中的排列名次越靠前，搜索者就越可能訪問你的網(wǎng)站。SEO這個(gè)詞最早出現(xiàn)在90年代后期，當(dāng)時(shí)網(wǎng)絡(luò)設(shè)計(jì)師剛開始注意到他們?nèi)绾尾拍軌蜃屗麄兊木W(wǎng)站排在搜索引擎的前幾頁。在早期，可以簡單地通過在網(wǎng)頁的元數(shù)據(jù)插入熱門關(guān)鍵字來操控搜索結(jié)果，但是現(xiàn)在搜索引擎算法變得越來越復(fù)雜以避免這種問題。

現(xiàn)在，很多搜索引擎將他們的排名標(biāo)準(zhǔn)當(dāng)作最高的機(jī)密，據(jù)稱，谷歌使用了超過200個(gè)因素，而搜索引擎優(yōu)化者則使用很多不同的方法，例如：

橫向鏈接相同網(wǎng)站的頁面

“關(guān)鍵字堆砌”(在meta標(biāo)簽中或者網(wǎng)頁內(nèi)容中反復(fù)使用熱門關(guān)鍵字，通常是通過將字體顏色融合到背景中或者放在圖片后面，讓網(wǎng)站訪問者無法看到)，被“塞滿”的網(wǎng)頁有時(shí)候被稱為“中毒”網(wǎng)頁

“垃圾評(píng)論”或者“垃圾索引”(在很多博客的評(píng)論中粘貼網(wǎng)站鏈接)

“鏈接養(yǎng)殖場”(網(wǎng)站集群，所有集群中的網(wǎng)站都互相鏈接)

搜索引擎也發(fā)布了改善網(wǎng)站排名的可行方法的指導(dǎo)，而使用這些指導(dǎo)以外的方法將會(huì)被認(rèn)為是不合理的，而試圖“戲弄”搜索引擎算法的技術(shù)一般被稱為“黑帽SEO”，通常使用卑鄙的技術(shù)來獲取更多的流量，而當(dāng)網(wǎng)站是惡意網(wǎng)站時(shí)，就變成了SEO中毒攻擊。

攻擊2.0

SEO中毒攻擊可以說是攻擊2.0的一部分，也就是說，它屬于日益復(fù)雜化攻擊的一部分，攻擊者們開始使用越來越復(fù)雜的技術(shù)。這些中毒攻擊者通常都會(huì)瞄準(zhǔn)最受歡迎的搜索條件以攻擊最大數(shù)量的受害者。據(jù)估計(jì)，在谷歌搜索結(jié)果中排名最高的網(wǎng)站中有超過十分之一為惡意網(wǎng)站。最近，SEO攻擊開始攻擊的是關(guān)于蘋果公司iPad和iPhone4的信息，因?yàn)檫@兩個(gè)都是最熱門的話題。但是由于這些攻擊慢慢被大家所了解，SEO攻擊者將會(huì)很快轉(zhuǎn)移到下一個(gè)熱門話題，這種快速轉(zhuǎn)移的能力就是他們成功的關(guān)鍵。

攻擊者現(xiàn)在正在使用自動(dòng)化工具，使他們能夠更簡單地使用黑帽SEO技術(shù)來利用現(xiàn)在最熱門的信息，而且通常都會(huì)與某些悲劇結(jié)合：地震、莫斯科自殺爆炸時(shí)間、名人死亡等等，任何能夠獲取大量點(diǎn)擊的信息都成為惡意攻擊者的棋子。

攻擊者使用的很多搜索引擎優(yōu)化工具(應(yīng)用程序，通常作為PHP腳本編寫，能夠生成中毒網(wǎng)頁以重定向訪問者到惡意網(wǎng)站)都能夠?qū)τ脩暨M(jìn)行區(qū)分，直接訪問網(wǎng)站的一般用戶，和從搜索引擎或搜索引擎抓取工具訪問網(wǎng)站的用戶。然后，用戶會(huì)被重定向到惡意網(wǎng)站。Sophos公司的最新研究報(bào)告就分析了自動(dòng)化的過程，請(qǐng)點(diǎn)擊此處下載。

攻擊者如何破壞合法網(wǎng)站來插入他們的重定向工具呢？在某些情況下，他們是利用內(nèi)容管理系統(tǒng)中的漏洞。而在其他情況下，他們可能是通過利用托管網(wǎng)絡(luò)服務(wù)器中的漏洞來攻擊網(wǎng)站。當(dāng)攻擊者能夠滲透網(wǎng)站后，他們就會(huì)上傳并安裝SEO應(yīng)用程序，該應(yīng)用程序能夠動(dòng)態(tài)生成SEO頁面并從搜索結(jié)果中提取文本，使用任何主流搜索引擎。最新熱門關(guān)鍵詞都能夠在網(wǎng)上找到，例如Google Trends。元數(shù)據(jù)從搜索引擎結(jié)果中被提取出來并添加到SEO頁面的鏈接中，被生成的內(nèi)容同樣可以由SEO工具進(jìn)行緩存。

SEO頁面鏈接到其他SEO頁面，這樣他們就會(huì)被搜因，和/或鏈接到張貼在其他合法網(wǎng)站的論壇、博客評(píng)論、留言薄、社交網(wǎng)絡(luò)狀態(tài)更新等中的SEO頁面。這樣就能讓攻擊者的SEO頁面被搜索引擎賺取工具進(jìn)行索引。

當(dāng)用戶點(diǎn)擊中毒搜索結(jié)果時(shí)，請(qǐng)求就會(huì)被重定向到惡意網(wǎng)站。實(shí)現(xiàn)重定向的一種方式就是使用PHPheader()函數(shù)來發(fā)送重定向狀態(tài)代碼給用戶的網(wǎng)絡(luò)瀏覽器。JavaScript或者其他主動(dòng)內(nèi)容也能夠用來重定向用戶。

如何保護(hù)企業(yè)免受SEO攻擊

如何保護(hù)企業(yè)免受SEO中毒攻擊呢？最大的問題在于，抵御基于網(wǎng)絡(luò)攻擊的傳統(tǒng)保護(hù)措施，例如URL過濾，都會(huì)變得無效，因?yàn)楣粽呤褂玫氖呛戏ňW(wǎng)站來重定向訪問者。而內(nèi)容檢查和過濾以及有效載荷檢測則更加有效，以防止惡意內(nèi)容攻擊用戶。

教育用戶是很好的辦法，告訴他們SEO攻擊者常用的一些攻擊技術(shù)。例如中毒網(wǎng)頁可能會(huì)重定向用戶到“惡意門戶網(wǎng)站”，在這些網(wǎng)站中用戶會(huì)看到很多病毒攻擊警報(bào)和安全提示，提示用戶要安裝假的殺毒軟件，而其實(shí)是惡意代碼。還應(yīng)該提醒用戶，當(dāng)搜索有關(guān)人們?cè)掝}的新聞時(shí)，不要依賴于搜索引擎的結(jié)果，而應(yīng)該通過向?yàn)g覽器輸入可靠新聞網(wǎng)站的網(wǎng)址來直接查看新聞。其他方法還包括啟用瀏覽器的安全功能，特別是當(dāng)用戶訪問未知或者不可信任的網(wǎng)站時(shí)，并且當(dāng)突然提示要求安裝殺毒軟件或者惡意軟件防御工具時(shí)永遠(yuǎn)不要點(diǎn)“Yes”或者“確認(rèn)”。管理員應(yīng)該確保用戶的操作系統(tǒng)安裝了所有安全更新，并且所有用戶都運(yùn)行著殺毒軟件和防惡意軟件。

有自己網(wǎng)站的企業(yè)應(yīng)該對(duì)其網(wǎng)絡(luò)服務(wù)器進(jìn)行監(jiān)測并確保其安全，以確保他們的網(wǎng)絡(luò)服務(wù)器不會(huì)成為攻擊者發(fā)動(dòng)攻擊的管道，因?yàn)楫?dāng)企業(yè)網(wǎng)站涉及SEO攻擊事故時(shí)，企業(yè)聲譽(yù)也會(huì)受到影響。需要注意的是，攻擊者除了會(huì)將用戶從你的網(wǎng)站重新定向到惡意網(wǎng)站外，他們還會(huì)向你的網(wǎng)頁插入錯(cuò)誤關(guān)鍵字或者meta標(biāo)簽，讓搜索引擎認(rèn)為你正在使用黑帽SEO技術(shù)。這可能會(huì)使你的企業(yè)網(wǎng)站受到來自主流搜索引擎的制裁，例如降低你們網(wǎng)站的排名等。因此，必須確保你的網(wǎng)絡(luò)服務(wù)器和網(wǎng)絡(luò)應(yīng)用程序進(jìn)行了適當(dāng)?shù)呐渲靡苑乐筍EO攻擊者使用的跨站腳本和其他攻擊技術(shù)。