6月教育网整体运行平稳，未发现严重的安全事件。又临近高招网络招生的关键时期，各类院校的网站将再次成为黑客攻击的焦点，尤其是招生网站。目前钓鱼欺诈已经成为网络上一种主要的攻击手段，特殊时期要提防黑客利用学校的招生网站进行钓鱼欺诈活动。通常这类欺诈活动的做法是先控制学校的招生网站，然后对外谎称可以帮忙弄到学校的低分内部招生指标，考生交钱后就可以在相关院校的招生网站上查询到录取结果，而一旦有考生上当交了钱，他所能看到的仅仅是被篡改的招生网站上的虚假录取结果，并不会真的被学校录取，但因为有学校正规招生网站上的信息，这类钓鱼的欺骗性很高。因此建议学校网站管理员一定要在这段时间加强对学校招生网站的管理，必要时委派专人对网站上的重要信息(如录取信息)进行监管。

2013年6月安全投诉事件统计

　　6月某高校出现的欺诈电子邮件值得关注，之前我们认为那些冒充邮件服务器管理员要求用户修改密码的欺诈邮件一般都是病毒所发。但是这次发现的欺诈邮件却是在该学校的电子邮件系统刚刚更换了新系统并修改了登录界面后立即收到的，相关的欺诈邮件已经迅速地变更欺诈页面信息以贴合新系统。从这点可以看出此类攻击实际是有专人在背后操作，并非简单的病毒所为。这说明高校网络作为我国科研工作的重要承载体，已经被越来越多别有用心的组织所关注。

　　病毒与木马

　　近期没有新增影响范围广泛的木马病毒，没有特别需要关注的内容。

　　近期新增严重漏洞评述

　　微软6月的安全公告数量较少，只有5个，其中1个为严重等级，4个为重要等级，共修补了包括Window系统、IE浏览器、Office软件中的23个安全漏洞。相关漏洞的信息请参见：

　　http://technet.microsoft.com/zh-cn/security/bulletin/MS13-jun 。

　　Adobe公司6月的安全公告同样较少，只有一个。公告修补了Flash player软件中的一个远程代码执行漏洞(CVE-2013-3343),用户应该尽快使用自动升级功能升级自己系统上的Flash player版本。漏洞相关信息请参见：http://www.adobe.com/support/security/bulletins/apsb13-16.html。

　　Oracle公司最近也发布了Java运行环境的最新版本(Java SE 7u25)，修补了Java SE 7u21之前版本中的多个安全漏洞。近期Java运行环境的漏洞频繁曝光，说明该软件正在成为黑客攻击的重点。建议用户尽快升级自身系统中的Java运行环境版本。相关信息请参见：

　　http://www.oracle.com/technetwork/topics/security/javacpujun2013-1899847.html。

　　除上述例行安全公告外，以下产品的漏洞需要特别关注：

　　1. ISC 发布了Bind的最新版本(BIND 9 version 9.9.3-P1,BIND 9 version 9.8.5-P1,BIND 9 version 9.6-ESV-R9-P1)，修补了之前版本中存在的一个拒绝服攻击漏洞。漏洞源于resolver.c在处理畸形区域记录递归查询时存在RUNTIME_CHECK错误，特定的解析请求可导致受影响BIND应用崩溃。漏洞详情请参见：https://kb.isc.org/article/AA-00967。

　　2. Apache struts再次曝出存在两个远程代码执行的漏洞，这是继5月曝出漏洞后又新增的两个安全漏洞。漏洞是因为Struts中的OGNL表达式存在统配符匹配错误，攻击者可以通过该漏洞操作服务器端在应用的上下文中执行任意代码。目前厂商已经发布了Struts的最新版本Struts 2.3.14.3来修复这些漏洞，建议相关管理员尽快检查自己的服务器以判断是否需要升级。漏洞的详细信息请参见：http://struts.apache.org/development/2.x/docs/s2-015.html。

　　安全提示

　　近期国内知名的漏洞发布网站乌云曝出国内多款院校专用的教务及教学管理系统存在安全漏洞，包括：

　　1. 金智教育CMS 系统存在SQL注入漏洞;

　　2. 新利软件公司的银校通收费系统存在权限绕过漏洞;

　　3. 清元优软科技有限公司的URP教务系统存在权限绕过漏洞;

　　4. 育软教育电子政务平台存在Jboss未授权访问漏洞。

　　上述这些软件作为专用系统在全国很多高校内使用，建议使用了上述系统的学校尽快联系相关的厂商获取升级服务，避免漏洞被利用。

　　(作者单位为中国教育和科研计算机网应急响应组)