web服务也需防范勒索行为来袭

勒索行为示例锁定个人中心滥用服务隐私泄露诱骗恐吓防范建议

    想一下近年来安全行业比较火爆的勒索软件的技术原理，自从WannaCry类漏洞算起，大都是利用永恒之蓝漏洞配合通过smb弱口令进行传播，通过对主机重要数据进行加密后提示要求比特币渠道进行支付，用户无奈妥协后客服会发送解密私钥。任何远程类漏洞的漏洞均可用于勒索软件，比如mysql数据库、框架类、路由器漏洞。如何不能用于勒索，那么还能挖矿。

示例

锁定个人中心

    通过xss锁定用户的个人资料，修改密码，利用受害者的恐惧、服从心理，威胁删除服务和修改数据来影响可用性，胁迫用户就范，在支付赎金后，通过技术手段恢复正常服务及密码。

诱骗恐吓

    也可谎称在用户的电脑 页中发现病毒信息，诱骗用户下载伪装的杀毒软件，或者利用公检法的套路，警告将以用户身份通过上传功能发布黄赌毒内容，诱导受害者主动和骗子联系，进行下一步行为诱导安装主机勒索软件，或者通过现实场景实施勒索犯罪行为。