3
| 本文作者：李勤 | 2016-10-11 17:40 |
你的牙刷被别人偷偷用了，是不是不能忍？
那你花钱买的视频网站VIP账号呢？有些人可能能忍，然而有些人却不能。
今日，央视财经频道曝光了一则消息——你买的视频网站会员VIP 别人也在用，里面的当事人田女士不能忍，因为她的其他网银密码、关键网站密码都和她在视频网站上买的VIP账号密码一致。
这还能忍？田女士吓得一一修改她的其他密码。
最诡异的是，这个视频网站并未提示她有异常登录或账号异常情况，还是靠她自己在“一不小心”查看观影记录时发现。此时，她的观影券都神不知鬼不觉地被别人用了！
这是怎么回事？
该媒体报道指出，可能是有两种原因：一是供应商把买来的账号分销，所以有些人以超低价格、甚至是免费拿到了账号；二是账号被不知不觉盗取了，而且是以“撞库”形式盗取。
撞库是什么？来科普一下。
撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户从而尝试登录B网址，这就可以理解为撞库攻击。
还记得12306在2014年发生的那次账号密码泄露危机吗？
12306官方网站称，网上泄露的用户信息系经其他网站或渠道流出，那次泄露的用户数据不少于131653条，基本确认为黑客通过“撞库攻击”所获得。
最近新闻曝光了一次撞库是，魅族部分用户Flyme系统账号被锁。魅族官方后来解释，监控数据显示在这段期间内，在某固定IP地址下，有人使用已经匹配好的用户名和密码组合频繁在Flyme系统中尝试登录。官方认定此为恶意撞库行为，是不法分子通过收集互联网中已泄露的用户和密码信息尝试登录系统。
提到“撞库”，干脆再来说说“拖库”和“洗库”。
在黑客术语里，”拖库“是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，“洗库”即对数据库中的资源进行层层利用，这个产业链价值比较大的是，第一波进行虚拟币等信息的剥离，例如支付宝和QQ等，拿到用户的账号后就会进入账户尝试，如果有虚拟金钱就会转走，或将QQ号倒卖；第二次“洗”是对于个人信息的收集，有些账户可能包括个人信息内容，这些会卖给那些需要的人；第三次“洗”是关联手机号的信息，卖给转发垃圾短信的，这样一层层“洗”下去直到没有价值为止。
启明星辰安星web安全运维团队曾制作过“拖库—洗库—撞库”的示意流程图：
看上去是不是很复杂？所以，少年，赶紧去修改密码吧，不要所有重要密码都设置成一样啦！
最后，你可能有个小小的疑问，回到视频网站的VIP账号事件，为什么视频网站没有任何异常提示？央视的报道里说了：一是账号是按照正常流程登陆，系统发觉有难度；二是视频网站本来就希望能够提升点击量，缺乏动力来追踪监控“异常的账号分享”。
所以，自己还要长点心啊！
雷峰网原创文章，未经授权禁止转载。详情见转载须知。
