77% 的网站使用了至少有 1 个漏洞的 JavaScript 库

本文作者： Tim Kadlec
编译：胡子大哈

翻译原文：http://huziketang.com/blog/posts/detail?postId=58df725ba58c240ae35bb8dc
英文连接：77% of sites use at least one vulnerable JavaScript library

转载请注明出处，保留原文链接以及作者信息

前几周有一篇文章介绍说有 37% 的网站使用了至少包含 1 个漏洞的 JavaScript 库。当我们写这个报告的时候，里面提到过，我们预计实际情况会比这个还要更糟。

实际上，要糟的多。

我们在 Alexa 上的 top 5000 网站上跑了测试，发现数字达到了惊人的 76.6%，76.6% 的网站使用了至少包含 1 个漏洞的库。如果你对于我们怎么做的实验比较好奇，那就继续往下看吧。

测试

为了做这个测试，我们抓了 Alexa 上 top 5000 的网站 URL。抓的过程中发现有很多网站已经访问不了了，采取的策略是依据排名继续往下抓，直到够了 5000 个 URL 为止。

每个 URL 都用 WebPageTest 跑一遍。WebPageTest 在 Chrome 中加载每个页面，并且执行一些 JavaScript 脚本来判断其使用的 JavaScript 库。

例如为了判断使用的 jQuery 版本，每个页面在加载完成以后都会执行下面代码：

    return jQuery && jQuery.fn && jQuery.fn.jquery

包含了检测是否有下面这些库：

jQuery
Handlebars
Mustache
React
Angular
Ember
jQueryUI
YI
Dojo

对于每个检测的版本，都和 Snyk 开源软件漏洞库进行对比，以此来看有多少库包含了已知漏洞。

结果不美丽

正如上面提到的，JavaScript 库的安全问题非常糟糕——并没有华丽的外衣掩藏它。5000 个网站中，有 3831 个（76.6%）使用了至少包含有 1 个漏洞的 JavaScript 库。

比例数字这么高，听起来有点吓人，不过正如原始报告中提的那样，实际情况可能更糟。我们测试了 9 个 JavaScript 库，而可用的 JavaScript 框架和库有成百上千个。所测试的 9 个库是这里面最流行的几个，所以比例数字上应该也不会有很大的跃动，也许和实际情况会有几个点的差异。

再次强调，这里只是针对客户端一侧，测试已知的第三方 JavaScript 库漏洞。不包含服务端一侧和自己编写的 JavaScript 服务。一些新的漏洞都会添加到我们的数据库中，有些可能还没有对外公开。

jQuery

jQuery 毫无疑问是我们测试的里面最流行的一个了，它的流行度是有据可查的，所有受测的 5000 个 URL 中，有 79% 的使用了 jQuery。

尽管 jQuery 并没有什么特别的，但是它这么流行也导致了它也成为众矢之的，研究它漏洞的比较多（有 5 个已知的漏洞，已经在最新版本中修复了）。

如结果所显示的，即便我们只检测 jQuery，也有 75.1% 的网站使用了有漏洞的版本。这很大程度上取决于产品中 jQuery 库使用了多少年。调研的产品中有 17.4% 的 jQuery 库使用超过了 5 年。这与我们上一份报告的结论很吻合：人们并不经常更新库。

最新没有发现漏洞的 jQuery 版本是 3.0.0 版本以上的。对于当前的 jQuery 用户而言，版本变更并不是那么简单的事情，因为升级很可能会引起 bug，需要系统的整体升级。所检测的 jQuery 在 1.x 版本的竟然达到了 79% 之高。虽然说 jQuery 3.0.0 才发布了 1 年左右，但是只有 3.6% 的网站使用了 3.x 版本，这一数字也确实太低了。

下周我们会对 jQuery 进行深入的分析，因为它实在是太流行了，也使得研究它会比较有趣。

jQuery UI

按流行度排的话，下一个就是 jQuery UI 了，受测 URL 中大概占 19.3%。同样地，大多数的 jQuery UI 用户在使用有漏洞的版本，尽管其已经可以进行升级了。受测网站中大概 91% 的 jQuery UI 库都有至少 1 个漏洞。

和 jQuery 一样，很大程度上因为人们不进行升级，有 21% 的网站使用同 1 个 jQuery UI 版本超过 5 年。

Handlebars

受测网站中，Handlebar 占到了 3.4%。其中的 68% 使用了有漏洞的 Handlebars 版本。

和上面一样，使用新版本的反应滞后是这一现象的罪魁祸首。从数据上来看，Handlebars 新版本的使用还比较流行，Handlebars 的最新版本 4.0.6 我们没有检测，检测的是其前一个版本 4.0.5，可以占到总 Handlebars 使用量的 26.7%。

然而由于它的版本发布的特别缓慢（自从 2015 年 11 月以来只发布了两个小版本），这也导致了这些使用了 Handlebars 的网站，一个版本也用了两年了。整体上，超过 3 年的 Handlebars 版本占到了 40%。

React, Mustache, Angular, YUI and Dojo

React (1.7%), Mustache (1.6%), Angular (1.3%), YUI (0.7%) and Dojo (0.2%) 。受测网站中，这些框架使用的比较少，所以对他们每个个体的分析结论并不可靠。把它们作为整体来分析的话，有漏洞的情况也很普遍，有 56.3% 的版本都是有漏洞的。