[安全]撞库

专业术语

在黑客术语里面，”拖库“是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，360的库带计划，奖励提交漏洞的白帽子，也是因此而得名。在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。最后黑客将得到的数据在其它网站上进行尝试登录，叫做”撞库“，因为很多用户喜欢使用统一的用户名密码，”撞库“也可以是黑客收获颇丰。

上游→中游→下游
拖库→洗库→撞库

撞库攻击

关于 WEB 安全

Web安全实际上是Web应用和Web服务器安全的结合体；而Web服务器的安全则是由Web容器和系统安全两部分组成，系统安全通常会通过外加防火墙和屏蔽对外服务端口进行处理，但Web容器却是必须对外开放，因此如果Web容器爆出漏洞的时候，网站也会遭到拖库的危险。

社会工程学方面的攻击

（1）水坑攻击
黑客会利用软件或系统漏洞，在特定的网站上进行挂马，如果网站管理员在维护系统的时候不小心访问到这些网站，在没有打补丁的前提下，就会被植入木马，也会引发后续的拖库风险。
（2）邮件钓鱼
黑客会利用一些免杀的木马，并将其和一些管理员感兴趣的信息绑定，然后通过邮件发送给管理员，而当网站管理员下载运行后，也会导致服务器植入木马，引发后续的拖库风险。
（3）社工管理员
对目标网站的管理员进行社会工程学手段，获取到一些敏感后台的用户名和密码。从而引发的后续拖库。
（4）XSS劫持
有时黑客也会为了获取某一些网站的帐号信息，他们会利用网站钓鱼的手段去欺骗用户主动输入，但这种方式只能获取部分帐号的真实信息，并没有入侵服务器。

用户怎样保护自己的隐私

• 重要网站/APP的密码一定要独立，猜测不到，或者用1Password这样的软件来帮你记忆；
• 不要在公共场合（如咖啡厅、机场等）使用公共无线，自己包月3G/4G，不差钱，当然你可以用公共无线做点无隐私的事，如下载部电影之类的；
• 自己的无线AP，用安全的加密方式（如WPA2），密码复杂些；
• 离开电脑时，记得按下Win+L键，锁屏，这个习惯非常非常关键；Mac下面是ctrl+shift+power

参考文献

撞库攻击：一场需要用户参与的持久战