發布日期：2022-04-27 點擊率：35
【導讀】12306網站突然爆發13萬用戶資料泄露事件，究其根本原因在于網站上線后出現的系統崩潰、卡死、頁面無響應等網絡技術問題。正值2015年春運搶票之際，12306網站卻爆出這種網絡安全技術問題，這背后隱藏著什么秘密呢？
數據如何泄露？
瑞星公司針對12306網站約13萬用戶關鍵隱私信息被泄露事件進行調查后發現，12306網站主域名下共有6個分站存在嚴重的Strust2框架的遠程執行漏洞，黑客可利用該漏洞控制分站服務器，進而攻擊整個12306網站，并竊取所有數據庫中的信息。因此，本次信息泄露事件有可能還會繼續升溫發酵。
專家介紹，12306網站主域名下，共6個分站存在Strust2框架的遠程執行漏洞，黑客可使用專業工具直接對網站進行攻擊，遙控網站服務器下載惡意文件，獲取最高控制權限，進行跳板攻擊，進而對12306整個網站進行入侵，從而獲取所有數據庫中的信息。
針對此次的12306用戶信息泄露問題，有白帽子專家分析認為，數據疑似黑客撞庫后整理得到，而并非12306直接泄漏，請用戶及時修改密碼，同時慎用搶票工具。
所謂“撞庫”，是一種針對數據庫的攻擊方式，通過攻擊者所擁有數據庫的數據通攻擊目標數據庫，可以理解為使用在A網站盜取的賬戶密碼來登陸B網站，因為很多用戶在不同網站使用的是相同的賬號密碼。
再打個比方，就是你從大樓保安那里復制了一大串鑰匙，然后跑到隔壁同一家建筑公司、同一批設計人員造的樓里，一把把試著去開不同的門。
最近還有個“拖庫”經常出現，它是指從數據庫中直接導出數據，更加嚴重，因為這意味著數據庫本身存在很大的漏洞。
也有人懷疑是第三方搶票軟件泄露所致，目前還沒有證據可以證明，但無論如何，搶票的心情可以理解，但一定要注意保護自己的安全，并強烈建議12306用戶更改密碼，最好是和其他網站不同的密碼。
因為，這些數據已經在網上公然叫賣了，如果被黃牛拿到，把我們辛辛苦苦訂的票退掉倒騰給別人，豈不是太郁悶了！
雖然知道了密碼可能的泄露方式，但是我們都有一個巨大的疑問。對每個用戶來說至關重要的用戶名和密碼等關鍵信息，網站為什么會采用明碼保存，難道是技術屏障？還是另有原因？
[page]
網站為什么明文保存密碼？
1、明文密碼應付檢查。大家知道互聯網審查，有時往往會一個電話過來，要XX用戶的密碼。如果你沒法給出，上頭就認為你不配合，事情各種難搞。作為審查機構的老板，當然沒必要知道明文密碼的危害。他們只知道，我要密碼，為什么不行。所以，悲崔的程序員們就往往會得到一條死命令，保存明文密碼。
2、壓根不知道明文密碼有什么問題。中國的互聯網有太多的沒基礎的新人，從石頭的縫隙中頑強的生長出來。這不是壞事，壞事的是這些人往往會在一些基礎問題上出現奇怪的毛病。例如有些程序員，寫程序很快，但是居然從來不知道密碼明文存放會導致什么問題。
3、自信暴棚的混帳。有些人的自信總比別人強，而且強在莫名其妙的地方。例如：我的服務器肯定是沒問題的，所以我的密碼一定要明文存放。如果不，就是質疑我的技術。實話說，這種人真是少數中的少數。
4、遺留系統。很多系統設計的時候因為某個其他理由，使用了明文密碼。等后來這個理由不存在了，密碼系統升級成了一個困難。因為密碼系統太重要了，所以在沒有太大利益的情況下，總是傾向于不修改系統。但是有什么足夠利益來推動系統修改呢？用戶安全問題在發現前不是一個問題——好比這次的 CSDN，不是被暴出來的話就根本不會被當作一個問題。系統的管理者，每個人都沒有足夠的動力去修改系統。
5、世界的陰暗角落。有的時候，程序員/老板明文存放的理由，是為了方便盜竊用戶其他網站資料。例如我所知的某釣魚案例，你注冊網站，就提供很多免費服務，網站看起來也很靠譜——除了后來突然爆出這家網站其實暗地中用你的生日/密碼猜解信用卡/銀行卡密碼，大家才突然發現，這家網站其實根本沒有在美國注冊，而是一個聽都沒聽說過的國家。而且很多網站提供從其他網站導入之類的功能，更加的危險。以前經常爆出twitter密碼被竊取，主要就是因為OAuth開放以前，twitter上的第三方應用需要提供原生密碼，導致很多小應用的目的其實就是收集密碼…
6、為了給用戶提供方便。這個理由和上一個很類似，不過不是為了某些險惡的目的。而是客戶經常要求——為什么我不能做XX事，為什么我不能blahblah。好吧，為了讓你能，我們就必須保存明文密碼。
這個揭秘來源于一個程序員的爆料，不說爆料的可信度是百分之百，至少他所說的內容中很多是值得我們思考的。明文保存密碼，既有政策和管理這樣外在的人為原因，同樣也有技術的問題，更有利益的驅使。可見明文密碼的原因背后是錯綜復雜的。在這樣錯綜復雜因素的背后，我們應該加強自己的密碼保護意識。
如何保護自己的密碼安全？
一、增強網絡安全意識
在互聯網時代，網絡安全意識應該像日常交通安全意識一樣，作為常識被確立。以CSDN為例，作為國內權威的技術論壇，該社區的用戶在技術方面堪稱專業，但流出的CSDN密碼卻顯示，大批用戶使用的竟是“12345678”“11111111”這樣超簡單的密碼。所以我們首先要有一個較強的網絡安全意識。
二、設置較為安全的密碼
安全密碼基本準則：8位以上、密碼采用三種或以上組合。各關鍵網站密碼不同，防止黑客使用撞庫的方式進行信息盜取。
三、盡量避免使用第三方軟件
由于第三方軟件的安全性不高，所以請謹慎使用離線搶票功能。像離線搶票這樣的第三方服務托管服務，必須明文存密碼，且沒法加密。所以一旦泄露就是明文。
四、經常更改密碼
如果發現密碼被盜，立即更改密碼。同時對于安全性要求比較高的密碼，定時更改密碼也是一個有效的保護信息安全的手段。
針對12306的密碼泄露，針對性的補救方法：
1、立刻修改12306登錄密碼；不過由于新密碼同步到所有服務器需要時間，部分用戶修改密碼后，或不能立刻登錄；
2、盡快修改登錄12306時使用的郵箱密碼，郵箱服務和12306網站服務一定不要使用相同的登錄密碼；
3、由于12306數據泄露的數據還包含手機號、身份證號，除了自己的信息之外，還會泄露親友的身份信息。建議受信息泄露影響的所有人小心處理可能的詐騙電話和短信。同時，與銀行轉帳匯款有關的業務，務必電話確認身份；
4、謹慎使用搶票軟件。
網絡給我們的生活帶來了許多的便利，同時我們的網絡生活也面臨著諸多的挑戰。而網絡安全也日益受到網民的關注，特別是在一次次的爆出信息泄露之后，更加加重了網民的擔心。文章中我們也分析了網站明文保存密碼的錯綜復雜的原因，在我們無法確認網站是否安全的前提下，擁有一個良好的網絡安全意識，謹慎保管好自己的密碼，當發生問題的時候及時使用正確的方法進行補救是十分有必要的。
下一篇： PLC、DCS、FCS三大控
上一篇： 老工程師支招：電路芯
