（云安全）拖库-洗库-撞库

一，背景：

用户数据泄露一直是如今互联 世界的一个焦点，从最近的京东撞库抹黑事件，到之前的CSDN，如家用户数据的泄露，服务商和黑客之间在用户数据这个舞台上一直在进行着旷日持久的攻防战。

对于大多数用户而言，撞库可能是一个很专业的名词，但是理解起来却比较简单，撞库是黑客无聊的“恶作剧”，黑客通过收集互联 已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆其他 站后，得到一系列可以登陆的用户。 

以京东之前的撞库举例，首先京东的数据库并没有泄漏。黑客只不过通过“撞库”的手法，“凑巧”获取到了一些京东用户的数据（用户名密码），而这样的手法，几乎可以对付任何 站登录系统，用户在不同 站登录时使用相同的用户名和密码，就相当于给自己配了一把“万能钥匙”，一旦丢失，后果可想而知。所以说，防止撞库，是一场需要用户一同参与的持久战。

关于撞库事件的始末下文中也会有详细的阐释。

提及“撞库”，就不能不说“脱库”和“洗库”。

在黑客术语里面，”拖库“是指黑客入侵有价值的 络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，360的库带计划，奖励提交漏洞的白帽子，也是因此而得名。在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。最后黑客将得到的数据在其它 站上进行尝试登陆，叫做”撞库“，因为很多用户喜欢使用统一的用户名密码，”撞库“也可以是黑客收获颇丰。

下图是黑客，在“脱裤”“洗库”“撞库”三个环节所进行的活动。

而对于，信息被泄露的受害者，根据泄露信息的种类不同，生活也会受到不同程度的影响。

技术方面大致分为如下几种：

四，黑客怎样解密得到的数据：

通常情况下，数据库中的个人信息如，邮箱 电话 真实姓名 性别 等都是明文存储的。而密码通常经过MD5加密之后存储。黑客可以很轻易地把他需要的且是明文存储的数据从数据库中剥离出来。而MD5加密之后的数据这需要一定的解密流程才能看到明文。通常解密MD5的方法有，暴力破解，字典破解和彩虹表。

值得注意的是，基于字典的暴力破解时间上比单纯的内存计算型暴力破解更有效率，只要一次的”字典生成”花费一定的时间，后续的多次破解都可以重复使用这个字典。

注意，这里说的”字典”指的对应某个算法的字典: MD5 Directory、SHA1 Directory、NTLM Directory等等。

总的来说，字典攻击是对单纯的内存型暴力破解的一个改进，它引入了预处理的思想，但缺点也很明显，需要占用及其庞大的磁盘空间，以至于对于长度16以上的密码字典，完整存储根本不可能。

（3）彩虹表

这是对暴力破解和字典破解的一种折中的破解技术，在2003年瑞典的Philippe Oechslin 在Making a Faster Cryptanalytic Time-Memory Trade-Off一文中首次被提出，它有效的利用了预处理的优点，同时又克服了字典破解消耗太大磁盘空间的缺点，在这两者中找到了一个平衡点。（具体实现技术请读者自行百度）

五，黑客怎样利用得到的数据：

除了贩卖数据得到金钱上的利益之外，黑客还会把得到的数据进行整理，制作成 工库。利用 工库对其他 站进行撞库攻击。撞库攻击实质上就是，以大量的用户数据位基础，利用用户相同的注册习惯(相同的用户名和密码)，尝试登陆其它的 站。

再来看最近的京东撞库事件， 上流传了一张所谓的京东数据被泄露的图片，其中涉及到少量京东用户名密码。

这也说明了，撞库攻击在本身拥有大量用户名密码的基础上，可以在不攻破目标系统的前提下，获取目标系统一定的用户信息。

六，用户怎样保护自己的隐私：

作为中国千万 民中的一个，你可能觉得，我不用 银，打游戏不充钱，我没有什么被黑的价值，所以黑客是不会来光顾我的。其实不然，每一个使用互联 服务的用户，在享受快捷方便的时候，都把自己暴漏在了风险之下。不是黑客会不会值得黑你，而是你有没有可能被波及。下面是几条建议有利于你规避风险。