喧嚣背后的真相:12306数据泄露事件深度分析

2014-12-26 +25 333180人围观 ,发现 78 个不明物体 头条观点

本文属FreeBuf黑客与极客(FreeBuf.COM)专栏文章,未经许可禁止转载

恰逢春运前,铁道部12306网站“13万用户数据泄露”“快去改密码!”“32G用户数据库下载”瞬间刷爆了网络。一时间很多猜测,很多言论,很多“谣言”,很多“真相”……它们充斥着我们的视线

莫让迷雾遮望眼——作为一个信息安全从业者和技术人,是时候冷静的坐下来看看究竟发生了点什么了。

起因

热点事件传播的开端可能都大同小异了,无非是微博,QQ或是其他社交渠道发现了一则“12306用户数据泄露”的消息。一开始你只是在“互联网的那些事”等营销微博号上看到,接下来发现门户的官微转发了,再后来人民日报发了!最后,央视居然TMD也报道了!

年末这么多媒体不可能一起来炒作忽悠大众吧!网民们的第一反映——这绝对是大事件!12306被入侵了,数据库被黑客泄露了……

随之而来的是,好事者和技术宅开始了搜索之旅,各种离线文件各种云盘各种存储渠道的链接向你袭来,于是你机智的下载了……伴随着间歇性转发,此时高傲的你面对着四处求种的人们还带着一丝优越感——哼,哥早就有了!

下载下来一看,我们得到的不是传说中的22G,18G,32G或37G!(以大小来标记数据貌似也是从下载动作片开始…已经越来越像炒作了!)而我们看到的是14M,约13万的用户数据。就像这样:

看到这里,只是个起因而已,是的没错,大多数人都做到了这一步,如果这个你都没做到的话,恩,只能说看热闹不怕事儿大,你连热闹都没认真看啊!

升温

热点事件就是这样,要么不温不火,要么火到源头都控制不了局面。很多人开始在这14M的数据里开始挖掘了,有很多人开始在数据里查询自己活朋友的信息了,无论是否处于好意,但是这个时候你就会发现,数据没有想象中那么齐全:

然后,更多的人选择了继续寻找全的数据,这个时候,你就想着了魔或者是强迫症患者一样开始疯狂的寻找,你开始重新关注22G,32G…

那么好吧,很多人开始消耗那些在我国实属不便宜的宽带费用,甚至第一次开启了下载软件的VIP会员,就是不能沦为人后,这是一个数据的时代!大数据的时代,什么数据价值还能大过12306吗?

笔者也不能免俗,但是总有不详的预感,整个事件发展到这里,跟一些桃色事件、XX门太像了!果不其然,在2014的这个圣诞节,我等屌丝们再次怀着无比激动的心情,打开下载文件,再次重温了儿时经典《葫芦娃》!

失控

当人们还在沉醉于朋友圈转发和找种子的激情时,一些明眼人或着保持理智的人开始意识到——被央视转发的新闻就是真事吗?新闻的源头会不会有问题?12306真被黑了?

于是12306第三方网站被黑的论调出现,分销商和分销网点数据泄露似乎是个不错的解释,可能性也极大。但是此刻立即有阴谋论者跳出来说:这是托词,是推诿,是12306在找临时工顶包!

另一种在我看来比较理智的是“撞库”说,我们随机抽出所谓“泄露数据库”中的100条数据,将他们的密码提取出来,然后尝试登录12306,你会发现:“花擦!居然都能用呢!”。

FreeBuf小科普:什么是“撞库”

少量数据验证正确并不能代表这些数据就是12306网站流出的,而很有可能是黑客们将一些已经泄露的数据库(比如多年前的CSDN)很好的贯彻了数据整理的思想,通过12306进行了验证(俗称洗白)把能够成功登陆的账号密码汇总,并且将登陆后拿到的身份证信息,电话信息和姓名信息一并汇总,也就是俗称的“撞库”。

那么这样费劲撞库得来的数据,为什么会泄露出来呢?以下是一些猜想:

1、没有买卖就没有杀害,数据被买卖,货卖多家导致扩散开来
2、多方联合的炒作事件——懂的人骗不懂的。然而炒作都是有利益关系的,这大家自己YY下就好了
3、自我“逼格”的提升,干了这么“惊天动地的”事情人,想低调都觉得对不起自己
... ...

好吧,这些暂且不说了,至此12306事件与跟当年被翻炒了多少遍的冷饭“开房数据泄露”如出一辙,却彻底被炒火了甚至失控了。有些小伙伴也是相当有才,分分钟连专用的查询社工库都出现了,我只能说你太机智了,手速也真是快啊:

高潮

当门户、“业内人士”“专家”联手将12306话题推向高潮的时候(据说专家们还要把2014称为漏洞之年)……一群人坐不住了,他们急于证明黑客不只能做“撞库”这种毫无技术含量的事!

于是“安全圈”流出了很多的截图,说12306的服务器已经被入侵了,甚至给出了截图的证明:

重磅炸弹,貌似一瞬间推翻了之前证据确凿的“撞库”论,恩,这次事件开始有意思了,高潮来了一浪又一浪!这个时候,甚至有人将12306服务器的控制权限(webshell和连接密码)都丢出来了,也就是说,谁都可以直接使用12306服务器的控制权限。

终于可以聊聊漏洞了 

是啊,真正事件的过程中,信息量太大了,事件源本身似乎也并非漏洞?都来不及去看看技术相关的东西了

好了,我们先来看看网上公布的入侵证据:

这一张和第一张重磅炸弹一样,黑客使用struts漏洞(曾于2013年爆发)拿到了服务器控制权限,原图还不打马赛克,把包含漏洞网站域名清晰的展现给大家,仿佛就是说“欢迎来搞!”

所以,一旦你看到截图,联想到这个漏洞,那么想测试这个漏洞实在是太简单了,所以一大波入侵者和好事者正在来袭,比如这样:

漏洞危害我就不说了,一目了然,但是漏洞毕竟不是不重要,安全也绝对不是吓唬大众,该有节操还是要有,说到这里,到底如何,旁观者心中明白,搞技术的这个时候一定不能添油加醋…

都说是“撞库”,但12306真有漏洞

有几个值得我们思考的地方,就是真正入侵12306服务器或者说发现这些漏洞的人究竟在什么时候就开始了呢?Struts2漏洞爆发也是long long ago了,并且该漏洞在2013年集中地爆发过。当时状况惨不忍睹,各种知名、大型网站纷纷落马。

但为什么当时没有人说12306被黑了呢?或者说那个时候12306奇迹般的存活了下来?

那么可能性就只有三种了:

1、12306在struts2漏洞爆发的时候,已经被人入侵,只是一直潜伏,这次事件太热,才浮出水面
2、当时struts2漏洞爆发的时候,漏洞被批量利用,但是12306官网并不存在该漏洞,或者说当时大家没有发现12306的子域名和子站(这次6~7存在struts2漏洞的均为12306的子站)。所以得以幸免。
3、都是中国人,年年春运都实属不易,没有人忍心干掉12306(这一条可以忽略,但我要传播正能量!)

第一种可能性上文我们详细阐述过了,至于第二种,我觉得,那这次漏洞被发现可能是因为很多辅助的原因,因为当struts2漏洞爆发的时候,大家寻找存在漏洞的目标去利用一般使用google的语法,所以很可能那个时候真没找到12306这些存在漏洞的分站。

服务器是入侵了,但数据呢?

事情理到这里也差不多了,但是大家有没有发现,这些入侵截图都没有连接数据库的截图,也就是说是不是这些分站都没有12306数据,与此次泄露毫无关联?

虽说攻击者可以利用struts2漏洞入侵服务器,获取最高权限,但即使最高权限你也不能获取到服务器上本就没有的东西……

所以笔者判断,最初的14M 13万数据还是一次“撞库”的成果总结,这也就能解释为什么数据中的密码全是明文了。

结语

对12306来说,漏洞什么时候都该修补,漏洞爆发时要补,不管别人能不能找到你,不要存在侥幸心理,漏洞爆发的风头过去后产品才上线也要补,坏人总在角落盯着或等着你。

而笔者认为,信息安全从业者做的是让大家了解事件的危害,警觉起来,提高意识,几时修改密码什么的,而不是一味的吓唬大众来炒热整个行业,吓唬得到的是恐惧,而不是尊敬。

对大众而言,立即修改你的密码(买票了的话),没买票的,直接删除所有人名和身份证信息吧。春运在即,实属不易。另外,从今天起,你可以也需要关注信息安全了。

[FreeBuf专栏作者/黑客叔叔p0tt1,本文属FreeBuf黑客与极客(FreeBuf.COM)专栏文章,未经许可禁止转载]

p0tt1

21篇文章等级:6

黑客叔叔,RainRaid和SniFFeR.Pro团队负责人

这些评论亮了

  • daker (2级) 像草一样活着,不能自拔 回复
    说得不错,
    让我狂热的大脑冷静了不少!
    还是看看热乎的18G.avi压压惊!
    )64( 亮了
  • klgft 回复
    你们有没有想过这样一种可能:此次事件其实一半是炒作,一半是真实,其目的是幕后黑手想测试社会公众、媒体、执法机关对数据泄漏的反应,以获取建立某种数据模型的关键信息?自古以来,固若金汤的堡垒从来都是最容易从内部攻破,可能没有谁敢正面攻击12306网站窃取数据,但是怎能保证既贪婪又愚蠢的内鬼在诱惑面前不会做出倒卖内部数据的丧心病狂之举?
    )35( 亮了
  • hello 肉丝 回复
    圣诞节我放弃了各种只有两三个人就能演完的电影重温了下葫芦娃
    )11( 亮了
  • ys7 (1级) 这家伙很勤快,却什么介绍也没写。 回复
    楼主写得真心不错!分析也很到位。结尾总结那一段,非常给力!“吓唬得到的是恐惧,而不是尊敬。” 很赞!
    )8( 亮了
  • 巴拉巴拉 回复
    是真的泄漏了。而且都几个月了。
    这个真不骗你们。有注册的还是修改下密码亡羊补牢吧。
    根据我目前知道的平安保险有12306的数据库。
    内部消息。
    )6( 亮了
发表评论

已有 78 条评论

取消
Loading...
p0tt1

黑客叔叔,RainRaid和SniFFeR.Pro团队负责人

21篇文章240条评论

特别推荐

关注我们 分享每日精选文章

不容错过

css.php