安全公司不安全网站充满漏洞权衡

研究人员周一在Full Disclosure(全面披露)站发表的文章中称，安全公司McAfee的站充满了安全错误。这些错误可导致跨站脚本攻击或者其他攻击。这些安全漏洞是YGN道德黑客组织发现的，并且在安全/黑客邮件列表公开披露这些安全漏洞之前，于2月10日向McAfee做了报告。

YGN在Full Disclosure站发表的文章中称，除了跨站脚本攻击之外，YGN还发现了许多泄露信息的漏洞，其中包括泄露内部主机名称的漏洞和18个泄露源代码的漏洞。McAfee站能够用于XC脚本攻击的这个部分托管了McAfee用于下载软件的文件。

这个事情不仅令人难堪，而且在某种程序上还影响了McAfee的信誉。McAfee向企业面向消费者的站销售McAfee安全服务。McAfee站称，McAfee安全软件每天扫描站查找数千个黑客漏洞。如果这个站获得McAfee高标准安全认证，那么，McAfee杀毒产品用户在自己的浏览器中就会看到一个McAfee安全标签。McAfee安全软件声称，可以测试站的非故意托管的个人信息访问、危险站链接、钓鱼攻击和其他嵌入的恶意软件危险。

巴西塞阿拉州大学信息安全研究团队的安全研究人员Pablo Ximenes在博客中称，换句话说，出现这个安全标签应该意味着这个站不会出现像McAfee站现在拥有的相同的安全漏洞。不要误会我，我没有兴趣破坏McAfee的形象。我甚至拥有一家销售McAfee产品的公司。但是，这种严重不关心客户和转销商的情况是不能忽视的。

据YGN称，在2月10日向McAfee报告其站存在许多安全漏洞之后，McAfee称正在尽快解决这些问题。截止到3月27日，YGN发现这些安全漏洞完全没有修复，于是公开披露了这些安全漏洞。YGN向McAfee提出了两个半开玩笑的建议以解决这些问题：McAfee应该利用自己在2004年收购的Web安全服务公司Foundstone的站安全专家;McAfee应该利用出站的流量监控以检测潜在的信息泄露。

这并非第一次发现McAfee站缺少安全措施。在2008年，赛门铁克和VeriSign都发现McAfee站存在跨站脚本攻击安全漏洞。

此外，在2009年，Team Elite的成员白帽黑客Methodman发布了针对和站的概念证明攻击。在2010年4月，一次XC脚本攻击篡改了McAfee站社区论坛的页。

汽车之家站庞大的用户和流量基础 McAfee对《Network World》称，它正在对Full Disclosure站发布的报告展开调查。