锤子官网曝“撞库”漏洞存疑 百度安全专家深度解谜

24.05.2014  14:28

  5月22日,乌云漏洞平台曝出锤子科技官网无限制撞库漏洞,同时乌云平台将此漏洞的危害等级也定为了“”,虽然相关损失还无法统计,但针对近期频发的小米“脱库”、锤子“撞库”事件,百度安全中心专家称,用户应对此类事件的最好方法是及时修改密码,以防个人信息惨遭泄露,同时针对锤子的“撞库”事件也给出了分析。

  昨日,国内知名的安全问题反馈及发布平台乌云网(WooYun.org)显示,由于网站本身存在设计缺陷和逻辑错误,锤子官网出现了无限制撞库漏洞,其危害等级为高。目前,乌云已将相关漏洞细节反馈给厂商,但锤子官方并未给出任何回应。

  不过,百度安全专家分析称,如果此次事件真是因为网站漏洞,用户就应及时修改密码,但联系到近日锤子手机发布,以及网站用户关注度的问题,锤子官网是否真的会有大批量注册用户,是否是借“撞库”事件炒作也让人心存疑虑。

  不过什么是撞库、拖库?它们在出现,究竟能给用户带来哪些危害?百度安全中心的相关技术人员就这些问题给出了翔实解答,同时,用户应如何防范这些恶意行为,百度度安全中心也给出了中肯的建议。

什么是撞库?

  撞库是一个看起来很专业,但实际理解起来却很简单的名词。它其实就是黑客无聊的“恶作剧”。黑客首先会通过收集互联网已泄露的用户+密码信息,生成对应的字典表,然后再用字典中罗列的用户和密码,尝试批量登陆其他网站,这样,一旦用户为了省事,在多个网站设置了同样的用户名和密码的话,黑客很容易就会通过字典中已有的信息,登录到这些网站,从而获得用户的相关信息,如:手机号码、身份证号码、家庭住址,支付宝及网银信息等。这些信息泄露后,不仅会给用户和精神和经济带来巨大损失,同时也会给相关网站带来负面影响。

  比如:最近京东发生的抹黑事件,实际上,黑客就是利用“撞库”手法,“凑巧”获取到了一些京东用户的数据(用户名密码),然后通过模仿用户评论,给京东留下了大量抹黑的差评。

  什么是拖库?

  和撞库一样,拖库也是一个黑客术语,它指的是黑客入侵有价值的网站,把注册用户的资料数据库全部盗走的行为,因为谐音,所以也常被称作“脱裤”,比如前几天刚发生的小米用户信息大量泄露事件,就是拖裤行为的一个典型案例。

  在该事件中,小米用户名和密码大量泄露,黑客反过利用这些用户名和密码,登录小米服务器,获得了极其详细的用户资料,其中包括用户的手机号、邮箱甚至通讯录等。

  一般来说,在取得大量的用户数据之后,黑客会通过一系列的技术手段和黑色产业链,将有价值的用户数据变成现金以达到非法获利的目的。这一过程被称为“洗库”。

撞库、拖库会给用户带来哪些危害

  百度安全中心表示,黑客千方百计获取用户信息的唯一目的无非是为获利。目前,黑客在获得用户信息后,一般会通过以下几种途径来迅速获利。

  一是售卖用户账号中的虚拟货币、游戏账号、装备等变现,也就是俗称的“盗号”;

  二是对于金融类账号,比如:支付宝、网银、信用卡、股票的账号和密码等,则可以用来进行金融犯罪和诈骗;

  三是对于一些比较特殊的用户信息,如:学生、打工者、老板等,则会通过发送广告、垃圾短信、电商营销等方式变相获利;

  四是会将有价值的用户信息直接出售给第三方,如网店经营者和广告投放公司等。

  显然,这当中无论哪种方式,都会给用户的日常生活带来严重困扰,甚至直接带来经济损失。比如前几天小米用户信息泄露后,不少手机用户都反馈称接到了01053799231、02160544527等来电。这些来电可提供准确小米用户的个人信息,如:姓名、地址、电话、购买记录等,以货到付款的方式进行诈骗,就是上述危害中很常见的一种。

  网络用户应如何保证自己的信息安全?

  为很好地防范撞库行为的发生,切实保障自己的信息安全,百度安全中心建议,广大网民应提高防范意识,从以下几个方面入手规避风险:

  一是不要图省事,在所有网站都使用统一的用户和密码,特别是对于一些重要的网站,如:游戏、购物、支付类服务网站等,一定分使用独立的、复杂的密码,并定期更换;

  二是系统一定要勤打补丁,安装一款安全防护及杀毒软件。目前百度卫士和百度杀毒等,已能有效地防止各种木马、病毒的攻击,并能对钓鱼网站和含有恶意代码的网站,进行有效识别,可最大限度减少用户被攻击的风险,从根本上保证用户信息的安全。

  三是尽量不要使用盗版软件,盗版、破解的软件往往存在各种猫腻,后门存在的可能性很大;

  四是不可信的软件,就安装在虚拟机中运行,待确认安全后,再安装到物理机中;

  五是尽量不要在公共场合(如咖啡厅、机场等)使用公共无线,

  六是自己的无线AP,用安全的加密方式(如WPA2),密码复杂些;

  七是离开电脑时,记得按下“Win(Windows图标那个键)+L”键锁屏,这个习惯看起来很麻烦,其实非常关键。