1、布景：
用戶數據泄漏一向是此刻互聯網世界的一個核心，從比來的京東撞庫抹黑事務，到之前的CSDN，如家用戶數據的泄漏，辦事商和黑客之間在用戶數據這個舞臺上一向在進行著空費光陰的攻防戰(zhàn)。
對大年夜大都用戶而言，撞庫多是一個很專業(yè)的名詞，可是理解起來卻比較簡單，撞庫是黑客無聊的“惡作劇”，黑客經由過程匯集互聯網已泄漏的用戶+暗碼信息，生成對應的字典表，測驗測驗批量登岸其他網站后，獲得一系列可以登岸的用戶。
以京東之前的撞庫舉例，起首京東的數據庫并沒有泄漏。黑客只不外經由過程“撞庫”的手法，“剛巧”獲得到了一些京東用戶的數據(用戶名暗碼)，而如許的手法，幾近可以對任何網站登錄系統(tǒng)，用戶在不合網站登錄時利用不異的用戶名和暗碼，就相當于給本身配了一把“全能鑰匙”，一旦丟掉，后果可想而知。所以說，避免撞庫，是一場需要用戶一同介入的持久戰(zhàn)。
關于撞庫事務的始末下文中也會有具體的闡釋。
說起“撞庫”，就不克不及不說“脫褲”和“洗庫”。
在黑客術語里面，”拖庫“是指黑客進侵有價值的收集站點，把注冊用戶的資料數據庫全數盜走的行動，因為諧音，也常常被稱作“脫褲”，360的庫帶打算，嘉獎提交縫隙的白帽子，也是是以而得名。在獲得大年夜量的用戶數據以后，黑客會經由過程一系列的手藝手段和黑色財產鏈將有價值的用戶數據變現，這凡是也被稱作“洗庫”。最后黑客將獲得的數據在其它網站長進行測驗測驗登岸，叫做”撞庫“，因為良多用戶喜好利用統(tǒng)一的用戶名暗碼，”撞庫“也能夠是黑客收成頗豐。
下圖是黑客，在“脫褲”“洗庫”“撞庫”三個環(huán)節(jié)所進行的勾當。
2、用戶數據與黑色財產：
跟著地下財產鏈日漸成熟，用戶數據可以被敏捷地改變成現金。
(1)用戶賬號中的虛擬貨泉，游戲賬號，設備，都可以經由過程生意的編制變現，也就是俗稱的“盜號”。
(2)金融類賬號好比，付出寶，網銀，諾言卡，股票的賬號和暗碼，則可以用來進行金融犯法和欺騙。
(3)最后一些可回類的用戶信息，如學生，打工者，老板等，多用于發(fā)送告白，垃圾短信，電商營銷。也有專門的告白投放公司，花錢采辦這些分門別類的信息。
快速收益和高回報也讓愈來愈多的黑客逼上梁山。(刑法里不法進侵計較機系統(tǒng)罪會被判處三年到七年有期徒刑)
而對，信息被泄漏的受害者，按照泄漏信息的種類不合，糊口也會遭到不合程度的影響。
如上圖，假定你的多種網站和辦事的用戶名暗碼不異，那可能會承受更大年夜的損掉。
3、黑客如何獲得用戶數據：
黑客為了獲得數據庫的拜候權限，獲得用戶數據，凡是會從手藝層面和社工層面兩個標的目標進手。
手藝方面大年夜致分為以下幾種：
(1)長途下載數據庫文件
這類拖庫編制的操縱主如果因為治理員貧乏安然意識，在做數據庫備份或是為了便利數據轉移，將數據庫文件直接放到了Web目次下，而web目次是沒有權限節(jié)制的，任何人都可以拜候的;還有就是網站利用了一些開源法度，沒有點竄默許的數據庫;其實黑客每天城市操縱掃描東西對各大年夜網站進行瘋狂的掃描，假定你的備份的文件名落在黑客的字典里，就很等閑被掃描到，從而被黑客下載到本地。
(2)操縱web利用縫隙
跟著開源項目標成熟成長，各類web開源利用，開源開辟框架的呈現，良多草創(chuàng)的公司為了削減開辟成本，城市直接引進了那些開源的利用，但卻其實不會關心厥后續(xù)的安然性，而黑客們在知道方針代碼后，卻會對其進行深進的闡發(fā)和研究，當高危的零日縫隙發(fā)現時，這些網站就會遭到拖庫的危險。
(3)操縱web辦事器縫隙
Web安然實際上是Web利用和Web辦事器安然的連絡體;而Web辦事器的安然則是由Web容器和系統(tǒng)安然兩部門構成，系統(tǒng)安然凡是會經由過程外加防火墻和樊籬對外辦事端口進行措置，但Web容器倒是必需對外開放，是以假定Web容器爆出漏洞的時辰，網站也會遭到拖庫的危險。
社工方面大年夜概有以下幾種：
(1)水坑報復打擊
黑客會操縱軟件或系統(tǒng)縫隙，在特定的網站長進行掛馬，假定網站治理員在保護系統(tǒng)的時辰不謹慎拜候到這些網站，在沒有打補丁的前提下，就會被植進木馬，也會激發(fā)后續(xù)的拖庫風險。
(2)郵件垂釣
黑客會操縱一些免殺的木馬，并將其和一些治理員感歡愉愛好的信息綁定，然后經由過程郵件發(fā)送給治理員，而當網站治理員下載運行后，也會導致辦事器植進木馬，激發(fā)后續(xù)的拖庫風險。
(3)社工治理員
對方針網站的治理員進行社會工程學手段，獲得到一些敏感后臺的用戶名和暗碼。從而激發(fā)的后續(xù)拖庫。
(4)XSS劫持
有時黑客也會為了獲得某一些網站的帳號信息，他們會操縱網站垂釣的手段往棍騙用戶主動輸進，但這類編制只能獲得部門帳號的真實信息，并沒有進侵辦事器。
四，黑客如何解密獲得的數據：
凡是環(huán)境下，數據庫中的小我信息如，郵箱 德律風 真實姓名 性別 等都是明文存儲的。而暗碼凡是顛末MD5加密以后存儲。黑客可以很等閑地把他需要的且是明文存儲的數據從數據庫中剝離出來。而MD5加密以后的數據這需要必然的解密流程才能看到明文。凡是解密MD5的編制有，暴力破解，字典破解和彩虹表。
(1)暴力破解
暴力破解這是一種"時候耗損型"的破解編制，肯定了密文的加密編制的前提下，利用不異的加密算法，計較
M = H(P)
P為所有的明文空間
H為加密算法
M為密文
然后將計較獲得的M和待破解的密文進行比較，假定匹配成功，則對應的明文P即為待破解密文的明文。值得寄望的是，這個列舉P和比較M的過程常常是在內存中進行的，也即在計較的過程中一邊產生，一邊比較，此次破解結束后，下一次破解又要從頭開端從頭列舉，效力不太高。
(2)字典破解
字典破解本質上仍是"暴力破解"的一種，在字典破解中，報復打擊者是對所有的明文(M)進行估計較，將所有的明文的HASH都事前計較好，并保留起來。典型的MD5字典以下:
....
password5f4dcc3b5aa765d61d8327deb882cf99
admin21232f297a57a5a743894a0e4a801fc3
cnblogefbc3548e65e7225dcf43d3918d94e6f
....
在進行破解的時辰，破解法度將字典映照Mapping到內存中，然后將HASH和待破解的密文進行逐條比較(這點和暴力破解是一樣的)，直到找到某條HASH和待破解的密文不異為止。
值得寄望的是，基于字典的暴力破解時候上比純真的內存計較型暴力破解更有效力，只要一次的"字典生成"破鈔必然的時候，后續(xù)的多次破解都可以反復利用這個字典。
寄望，這里說的"字典"指的對應某個算法的字典: MD5 Directory、SHA1 Directory、NTLM Directory等等。
總的來講，字典報復打擊是對純真的內存型暴力破解的一個改進，它引進了預措置的思惟，但錯誤謬誤也很較著，需要占用及其復雜年夜的磁盤空間，乃至于對長度16以上的暗碼字典，完全存儲底子不成能。
(3)彩虹表
這是對暴力破解和字典破解的一種折中的破解手藝，在2003年瑞典的Philippe Oechslin 在Making a Faster Cryptanalytic Time-Memory Trade-Off一文中初次被提出，它有效的操縱了預措置的長處，同時又降服了字典破解耗損太大年夜磁盤空間的錯誤謬誤，在這二者中找到了一個均衡點。(具體實現手藝請讀者自行百度)
五，黑客如何操縱獲得的數據：
除發(fā)賣數據獲得金錢上的好處以外，黑客還會把獲得的數據進行清算，建造成社工庫。操縱社工庫對其他網站進行撞庫報復打擊。撞庫報復打擊本色上就是，以大年夜量的用戶數據位根本，操縱用戶不異的注冊習慣(不異的用戶名和暗碼)，測驗測驗登岸其它的網站。
跟著社工庫的日趨復雜年夜，愈來愈多的用戶和網站遭到來自撞庫報復打擊的威脅。(此刻網上傳播的數據庫已超越千萬級別，不外這和某些黑客手中所掌控的數據比較起來只不外是冰山一角，詳情拜見“道哥的黑板報：中國黑客傳說：游走在黑暗中的精靈”)
不單單是賬戶暗碼的泄漏，在復雜年夜的社工庫面前，用戶的小我隱私也是朝不保夕。好比如家賓館2000w數據泄漏事務，導致浩繁會員開房記實暴光于互聯網。
QQ群用戶信息的泄漏，也影響到了幾近所有QQ用戶的隱私。
再來看比來的京東撞庫事務，網上傳播了一張所謂的京東數據被泄漏的圖片，此中觸及到少量京東用戶名暗碼。
網上的白帽子闡發(fā)了此頂用戶名暗碼的出處，發(fā)現圖片中的用戶名暗碼均在，之前別的網站泄漏的數據庫中存在。
這也說了然，撞庫報復打擊在本身具有大年夜量用戶名暗碼的根本上，可以在不攻破方針系統(tǒng)的前提下，獲得方針系統(tǒng)必然的用戶信息。
6、用戶如何呵護本身的隱私：
作為中國千萬網平易近中的一個，你可能感覺，我不消網銀，打游戲不充錢，我沒有甚么被黑的價值，所以黑客是不會來幫襯我的。其實不然，每個利用互聯網辦事的用戶，在享受快捷便利的時辰，都把本身暴漏在了風險之下。不是黑客會不會值得黑你，而是你有沒有可能被波及。下面是幾條建議有益于你規(guī)避風險。
(1)首要網站/APP的暗碼必然要自力，猜想不到，或用1Password如許的軟件來幫你記憶;
(2)電腦勤打補丁，安裝一款殺毒軟件;
(3)盡可能不利用IE瀏覽器
(4)撐持正版，因為盜版的、破解的老是各類貓膩，后門存在的可能性很大年夜;
(5)不那么可托的軟件，可以安裝到虛擬機里;
(6)不要在公共場合(如咖啡廳、機場等)利用公共無線，本身包月3G/4G，不差錢，當然你可以用公共無線做點無隱私的事，以下載部片子之類的;
(7)本身的無線AP，用安然的加密編制(如WPA2)，暗碼復雜些;
(8)分開電腦時，記得按下Win(Windows圖標阿誰鍵)+L鍵，鎖屏，這個習慣很是很是關頭;