既然有这么多较早的错误，为什么还要烦恼零日？

不要痴迷于零日漏洞和高度复杂的针对性攻击。 攻击者更有可能利用Web应用程序中的较早的已知漏洞，因此应将重点放在基本补丁和安全卫生上。

Imperva安全策略主管Barry Shteiman告诉SecurityWatch，该漏洞于2010年和2009年修补，是4月份最常被攻击的十个Web漏洞之一。 尽管年龄已大，但是私人和工业化攻击者仍继续针对这些漏洞，因为这些攻击活动是“幸运的”。 Shteiman说，这种攻击不需要购买或开发昂贵的零日漏洞，因为“零日漏洞”也可以广泛使用。

攻击者知道，较早的漏洞是Web应用程序安全性的低端成果。 如果需要，攻击者可以变得精明，可以使用各种工具来制定复杂的战役。 但是，当人们坚持使用过时的Web应用程序版本或管理员没有为应用程序维护定期的修补计划时，为什么还要打扰呢？ Shteiman说，这个问题在广泛使用的应用程序中更为普遍，例如论坛软件，内容管理系统，甚至是电子商务工具。

系统面临风险

4月份针对的所有漏洞都是注入式攻击，例如文件和SQL注入，并且都已得到修补。 2010年的漏洞利用了ZeusCMS 0.2中的权限管理问题，而2009年的漏洞是Zen Cart 1.3.8及更早版本中的SQL注入。 Shteiman说：“漏洞似乎永远不会消失。”

Shteiman说，如果攻击者知道一个CMS中存在一个问题，并且CMS已经安装了1000万次，则寻找运行该版本软件的站点“是有道理的”。 它需要一些明智的Google-fu，仅此而已。

Imperva提供了目标十大漏洞的图表，并弹出三件事。 列表中的“最新”漏洞是2013年的。从CVSS得分可以看出，该漏洞本身并不是复杂的，高度严重的漏洞。 漏洞攻击本身并不复杂。

对流行的CMS软件（包括WordPress和Joomla）进行了大量的大规模攻击。 有了足够多的易受攻击的系统，攻击者寻找这些系统而不是进行零时差攻击就更加便宜和容易。

增加注射量

攻击者只会反复使用现有的和最近发现的攻击媒介。 这就是为什么SQL注入和跨站点脚本仍然是流行的攻击媒介的原因。 SQLi问题已在十年前解决，但攻击率仍然很高。 他说，过去三个月中，跨站点脚本攻击占攻击的40％，而SQL注入攻击占25％。

Shteiman说：“如果我们有治愈癌症的方法，那么您期望死亡率会下降。但是SQL注入情况并非如此。”

快速浏览Exploit-db.com即可确认Shteiman的观察。 在Web应用程序下列出的七种攻击中，有五种以某种方式处理了现成的软件，例如WordPress，AuraCMS或社交业务平台Sharetronix。 XSS和SQL注入攻击也经常被列出。

管理员，无论是管理每天有数百万用户的网站，还是在线访问量较小的网站，都需要确保他们定期修补软件。 许多CMS开发人员已简化了其软件中的更新过程，并且提供了一些工具来帮助识别所有已安装的应用程序。 未使用的功能应禁用。

当然，零日攻击和针对性攻击是可怕的。 但是，如果攻击者为您的数据和站点而来（并且很可能有人攻击），请不要在您的软件中存在漏洞以使其变得容易。 修补程序，运行评估工具并查找可疑行为。 保持警惕是关键。