绿盟安全月刊->第22期->业界动态 Apache公司服务器遭到恶意攻击

日期：2001-06-15

新浪科技

　　Apache软件创业公司(ASF)本周四宣布它的服务器遭到了外来的袭击。这家公司成立于1999年，它曾经开发出Apache HTTP服务器并一直积极促进开放式源代码软件的开发。这一消息的公布再次引发了关于为什么在如此严峻的形势下还要发展开放式源代码经营模式的争论。

　　这次来源不明的攻击发生在5月17日，袭击立即导致公司服务器离线。ASF公司系统管  
理员和安全专家立即着手对整个情况进行了处理，他们发现虽然问题并不严重，但这次袭击的潜在危害性非常大，因为该服务器控制着公共邮件清单、网络服务以及ASF公司所有的开发项目的源代码数据库。

　　ASF公司总裁布赖恩·贝伦多夫说：“没有任何迹象表明这次袭击给源代码或二进制代码造成破坏，包括公司主力产品Apache网络服务器在内的ASF软件所采用的二进制代码的安全性得到了有效的检验。”

　　贝伦多夫和其他专家在某种程度上查出了袭击者的一些踪迹，他说一位Apache软件设计师在sourceforge.net网站上有一个帐号，袭击者就是通过这个壳帐号窃取了用户名和密码侵入apache.org网站的。袭击者在该网站运用早先安装的Bugzilla软件未占到任何便宜之后通过一个收发邮件的后台程序(OpenSSH 2.2)控制了引导程序并用自己的用户名和密码替换了原先的密码。但自动监控系统很快发现了这些改动以及这位袭击者留下的几个特洛伊木马程序。该公司当即关闭了服务器并进行了全面检查，同时安装了新的后台操作程序并删除了袭击者留下的密码。

　　贝伦多夫说如果可能的话他们会对袭击者提起诉讼，他同时强调说ASF公司正在与其他公司合作追查袭击者。他说如果再发生遭袭击的情况ASF公司就可通过SourceForge和php.net网站识别出攻击行为的发源地。这位ASF公司领导人还借机宣扬了开放式源代码软件的优势，他说：“由于ASF公司的软件是按照开放式源代码协议而发布的，这些源代码是公开和免费的，因此它的安全性更高一些。”

　　贝伦多夫建议软件设计师对这些代码加以研究，彻底认清袭击者的真实面目和采用的方法。ASF公司还说任何人如果想要查询这次袭击的更为详细信息的话都可以和root@apache.org邮箱联络。(星云）