黑客元老推演网络大泄密：有挑战实名制意味思维导图

清泪尽

2023-03-09

浏览量: 3

刑法

犯罪类型

网络犯罪

“一点都不意外，这在我们圈里流传很久了。”中国鹰派联盟网的创立者、鹰派代表万涛如此评价近期多家网站用户信息遭泄露一事。万涛曾参与组织了2001年中美黑客大战。

树图思维导图提供《黑客元老推演网络大泄密：有挑战实名制意味》在线思维导图免费制作，点击“编辑”按钮，可对《黑客元老推演网络大泄密：有挑战实名制意味》进行在线思维导图编辑，本思维导图属于思维导图模板主题，文件编号是：7d461f419524a8ca0dae937e4264f246

思维导图大纲

“有点挑战实名制的意味”

12月21日晚，国内知名IT社区CSDN发布公告称，部分用户数据遭泄露，用户名和用户密码或已公开，提醒用户修改密码。之后，国内另一知名社区天涯也发布公告称，因遭到黑客攻击，多家网站的部分用户数据库外泄，天涯也是受害者之一，恳请用户修改天涯社区账户密码。

细心用户不难发现，事发后天涯和CSDN均表示，被泄露的数据库是截至2009年用于备份的用户信息，并非最新的用户数据，不禁让人联想刷库(注：黑客术语，指黑客入侵网站服务器，盗取数据库内的资料，也被称为“拖库”)是否发生在数年前，眼下所见的都是被人榨干最后一滴水的陈年(微博)资料。

的确就是这样。

万涛表示，这些库很早就被拖库了，现在只是有人借助于网络将其公开，“这种明文密码的库，和现在的数据库不同，不可能有谁拿了这些明文密码的库再来赚钱，公开这个更像是一个娱乐的心态。”

所谓的明文密码，就是指直接将用户输入的密码，不经过任何加密，直接存储到数据库中，这种保存方式的安全性可想而知，但目前大部分网站均采用加密保存。

当初是谁刷库、赚了多少钱或许很难知道，不过现在将这些原本业内公开的“秘密”放在公众前的目的似乎比较容易猜测。

龚蔚向早报记者表示，此次大规模信息泄露事件不像是有组织的行为，“我看不出这个事情最终的受益者是谁，也看不出来有组织性。”龚蔚猜测，这更像是一个蝴蝶效应，拥有CSDN数据库的人可能对这些所谓的“秘密”感到好奇，忍不住将其上传至网络，而在看到CSDN用户数据被公开后，手中握有天涯数据库的人不得不将同样为明文密码的用户信息公布，“因为再不公布的话，那些用户就会更改密码了。”

不过，龚蔚担心这次公布的或许是手下留情，并未公布最新的数据内容。

值得注意的是，在上述网站用户信息被公开前数天，北京市刚出台了《北京市微博客发展管理若干规定》，要求微博实现实名制。万涛笑称，有点像对实名制挑战的意味。

黑客是如何偷的?

即使这些用户名和密码已经没有利用价值，即使这些密码现在成为茶余饭后的笑谈，不少人还是很好奇黑客究竟怎么去刷库的，尤其是偷取一个知名IT社区的数据库，这更像是一种赤裸裸的挑衅。

龚蔚解释称，数据库被盗完全是出在网站自身的环节上，只要整个网站中有任何一个漏洞，都能通过这个漏洞通向核心的数据库。这好比“木桶原理”，“任何一个短板都会决定你的最终水位，任何一个环节有问题都可以导致数据库被盗。”

简单而言，用户在登录网站输入密码时，通常含有密码的数据会传回数据库进行比对，这些数据早在用户第一次注册时就已存在，并且通常是以加密的方式存储。

抛开此前的明文密码不谈，目前的密码数据库均是通过哈希函数的方式进行加密，存储的数据是用户密码的哈希值。

但是哈希函数并非万无一失，两个不同的密码可能哈希值会一样，这种情况被成为“碰撞”，而这正是黑客用来窃取数据库获得信息的途径。

龚蔚称，目前的加密算法，即哈希函数都是公开的，除非自己设计一个很好的能够避免出现“碰撞”的哈希算法，否则现有的大众哈希函数都可以通过“碰撞”的方式进行破解。

为什么有些网站对于数据库泄露并不担心，因为这些网站认为自己的数据库是经过加密的，即使你拿到了数据库，如果无法通过哈希算法解开数据库，也无济于事。

如果设计出了碰撞几率低的算法，但黑客手中掌握了大量的碰撞库，这些都是常用密码所对应的哈希值，一旦有密码数据库泄露，黑客就会比对其中的哈希值与手中的碰撞库，如果匹配成功，就能找到用户的原始密码。

龚蔚表示，可以将偷取的过程形容为四个过程：第一是否能进得来;第二个是就算进得来，但能否看得见;第三是就算看得见核心数据，但能否拿得走;最后一步是就算能偷取整个数据库，但最终能否解得开。

虽然目前公开的明文密码已经没有利用价值，但通常而言，刷库只是黑客产业链中的一部分，接下来还有“洗库”，即对数据库中的资源进行层层利用。龚蔚介绍，这个产业链价值比较大的是，第一波进行虚拟币等信息的剥离，例如支付宝和QQ等，拿到用户的账号后就会进入账户尝试，如果有虚拟金钱就会转走，或将QQ号倒卖;第二次“洗”是对于个人信息的收集，有些账户可能包括个人信息内容，这些会卖给那些需要的人;第三次“洗”是关联手机号的信息，卖给转发垃圾短信的，这样一层层“洗”下去直到没有价值为止。

“刷库和洗库的分工很明确，洗库的人不会去刷卡，而且有专人负责对于各类不同账号的尝试，例如有人擅长操作QQ等。”龚蔚说道。

一旦黑客手中的用户库颇具规模后，就可以分析用户。万涛称，由于人的习惯性因素，密码不可能改来改去，总有一些关联，当有了用户资源后，可以生产字典，用于“暴力”破解。