IT发发 · 互联网 · 软件 · 硬件 · 加入收藏·设为首页

搜索

热门标签

软件故障

当前位置:主页 > 软件应用 > 软件故障 >

什么是洗库,洗库的避免与解决办法

时间:2012-01-22 19:30 来源:www.itit88.net 作者:网购达人 点击:

关键词:洗库,洗库避免,什么是洗库

简    介:“洗库”,即对数据库中的资源进行层层利用,把里面的资源进行全方面的剥夺。以下是什么是洗库的详细介绍与洗库的避免和解决办法。

“洗库”,也称黑客洗库,属于黑客入侵的一种,其对数据库中的资源进行层层利用,把里面的资源进行全方面的剥夺。以下是什么是洗库的详细介绍与洗库的避免和解决办法。

洗库产生的价值和洗库的过程:

这个产业链价值比较大的是,第一波进行虚拟币等信息的剥离,例如支付宝和QQ等,拿到用户的账号后就会进入账户尝试,如果有虚拟金钱就会转走,或将QQ号倒卖;第二次“洗”是对于个人信息的收集,有些账户可能包括个人信息内容,这些会卖给那些需要的人;第三次“洗”是关联手机号的信息,卖给转发垃圾短信的,这样一层层“洗”下去直到没有价值为止。
洗库时密码的破译:简单来说,明文密码就是没有隐藏、显而易见的密码,与之相对的是暗码,或称密文密码,指的是系统收到你的密码后,通过某种加密算法进行编译后,对编译结果进行保存。如果你的密码为12345,则明文密码显示为12345,暗码显示为*****。如果告诉你*****而不告诉你解码规则,你就很难翻译出12345。

被洗库无可避免:

  龚蔚解释称,数据库被盗完全是出在网站自身的环节上,只要整个网站中有任何一个漏洞,都能通过这个漏洞通向核心的数据库。这好比“木桶原理”,“任何一个短板都会决定你的最终水位,任何一个环节有问题都可以导致数据库被盗。” 
   简单而言,用户在登录网站输入密码时,通常含有密码的数据会传回数据库进行比对,这些数据早在用户第一次注册时就已存在,并且通常是以加密的方式存储。
  抛开此前的明文密码不谈,目前的密码数据库均是通过哈希函数的方式进行加密,存储的数据是用户密码的哈希值。
  但是哈希函数并非万无一失,两个不同的密码可能哈希值会一样,这种情况被成为“碰撞”,而这正是黑客用来窃取数据库获得信息的途径。
  龚蔚称,目前的加密算法,即哈希函数都是公开的,除非自己设计一个很好的能够避免出现“碰撞”的哈希算法,否则现有的大众哈希函数都可以通过“碰撞”的方式进行破解。
  为什么有些网站对于数据库泄露并不担心,因为这些网站认为自己的数据库是经过加密的,即使你拿到了数据库,如果无法通过哈希算法解开数据库,也无济于事。
  如果设计出了碰撞几率低的算法,但黑客手中掌握了大量的碰撞库,这些都是常用密码所对应的哈希值,一旦有密码数据库泄露,黑客就会比对其中的哈希值与手中的碰撞库,如果匹配成功,就能找到用户的原始密码。
  龚蔚表示,可以将偷取的过程形容为四个过程:第一是否能进得来;第二个是就算进得来,但能否看得见;第三是就算看得见核心数据,但能否拿得走;最后一步是就算能偷取整个数据库,但最终能否解得开。
  “刷库和洗库的分工很明确,洗库的人不会去刷卡,而且有专人负责对于各类不同账号的尝试,例如有人擅长操作QQ等。”龚蔚说道。
  一旦黑客手中的用户库颇具规模后,就可以分析用户。万涛称,由于人的习惯性因素,密码不可能改来改去,总有一些关联,当有了用户资源后,可以生产字典,用于“暴力”破解。
  “网站也不知漏洞何在”
  让人不安的是,即使包括天涯和CSDN在内的社区都已提醒用户修改密码,但对黑客而言,用户如何修改密码并非关键,黑客的目标在于网站的数据库,无论用户密码是什么,一旦通过“碰撞”破解哈希函数,那用户再怎样修改密码也是无用功。
  掌控权并非在用户手中,而且到目前为止上述网站也没有公布到底是哪个环节出了问题。
  龚蔚认为,没有公布原因就意味着网站自己也不知道哪里出了问题,“好比你钱包被偷了,但是不知道是在哪里被偷的,只知道买一个新的钱包,并称更安全。”
  万涛透露,数年前曾爆发过多起数据库被刷库的事件,只是由于网络传播力度不如现在,知道的人并不多,且对于一个发生过拖库的网站而言,说不定已经被人植入木马或者留下后门还不知道。
  但为何这些网站还是没有吸取同行的教训?龚蔚表示,大型网站往往为了抢占用户资源而过快扩张,例如各个门户网站的微博,这些都可能会留下遗留症。万涛称,门户网站对于安全的态度取决于用户对它的价值,门户网站在安全上的确投入很多,但一般都是保证内容不被篡改。
  此次的用户信息泄露更像是对实名制的一种挑战。万涛认为,目前整个法律体系根本不适应互联网的发展,尤其是在目前的体系下,把实名制寄托给运营商有很大问题,“过分强调实名制是有风险的,目前对它的风险估计不足。”

下一页了解出现洗库的解决办法!

标签: 洗库  洗库避免  什么是洗库  

顶一下
(1)
100%
踩一下
(0)
0%
------分隔线----------------------------
最新评论 查看所有评论
发表评论 查看所有评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 密码: 验证码: