近日有多起金融“诈骗”案、铁路购票黄牛案涉及“撞库攻击”这个名词。虽然名字很炫，但实际上它的原理并不复杂。在此想简单介绍一下它的原理，以便于大家对这种攻击方式进行防范。

什么是撞库攻击

由于现在需要注册的网站众多，为了避免忘记用户名和密码（当然也可能是因为懒惰），人们倾向于在不同的网站使用同一套邮箱地址、用户名和密码。如果密码的强度足够，这本身没有什么问题。

然而，用户的密码强度足够并不表示黑客没有办法知道。在不同的网站，其防范攻击的能力是不同的。例如一些开源的网店系统、论坛等，多多少少会被爆出一些漏洞来，黑客可以利用这些漏洞来获取这些站点里的用户信息，包括邮箱地址、用户名和密码。尽管正常设计的网站密码都是MD5加密的，但在MD5字典面前，稍微简单一些的密码和有含义的密码（例如英文单词）几乎就是秒破。在黑客获取到一批用户的登录信息后，他们会去找一些有经济价值的网站，例如购物网站、支付宝、电信运营商、网络银行等。然后将这些用户登录信息挨个儿去验证，总有一些“不幸”的用户会中招。

如果再配合以电信运营商的漏洞，例如在网上办理换卡业务或短信拦截等，就能够搞出更大的事儿来了。近期一些网银被盗，钱被莫名转走基本都是利用这种方式。

撞库攻击成功的三要素

1. 受害者在不同的网站使用了相同的用户名（或邮箱）、密码。

2. 黑客通过攻击方式在安全性较差的网站上获得了大量的用户登录信息。

3. 验证（攻击）用户登录信息的目标站点不需要通过另一种手段验证（例如手机动态密码），或另一种手段存在漏洞（手机卡或短信被劫持）。

如何防范撞库攻击

1. 在不同的网站上使用不同的用户名、密码。

2. 如果做不到第1条，可以折衷为以下两种方案：

a) 备有3-4套不同的安全等级的用户名密码，根据网站的安全系数和风险评估使用不同的组合。（例如论坛的用户名和密码别和网银的用户名密码一样）

b) 所有用户名都加上网站后缀，例如tomato123_jdcom。因为撞库的时候是进行大量穷举式验证的，黑客不太可能会也没空关注到后缀规则，因此实现了在不同网站使用不同的用户名。

3. 在任何情况下遇到手机无法正常使用，或来短信提示说手机账号、网银被登录，请立即致电银行关停所有银行卡。

本文为“番茄工作室”原创文章，如需转载请注明原始链接。

三分钟说清“撞库攻击”

什么是撞库攻击

撞库攻击成功的三要素

如何防范撞库攻击

评论

分享到：