[安全な通信] 中国鉄道部の12306ウェブサイトのデータベースが削除された事実の真実

クリスマスホラー:12306ユーザーデータリーク?

午前10時、深刻なセキュリティ脆弱性が脆弱性プラットフォームに現れ、12,306人のユーザーのデータベースが侵害されました。 この情報の正確性を検証するため、当チームは事件の調査を行いました。

インターネット上のいくつかのソーシャルワークフォーラムを通じて、12306が引きずられた痕跡が実際に見つかっており、以下の写真はソーシャルワークフォーラムのスクリーンショットです。

現在、インターネット上には14Mと18Gの2つのバージョンが流通しており、これらは地下のブラックメーカーの間で流通しています。パスワード漏洩の可能性は2つあると考えています。1つは12306のウェブサイトがデータベースに引きずり込まれたもの、もう1つは第三者のチケット収集ソフトウェア会社がハッキングされ、データベースが引き出されたことです。

12306は実名で認証されているため、IDカードや携帯電話番号など多くの重要な情報が含まれています。

古い記事 新しいプッシュ:パスワードはどこで?

数日前、私の周りの多くの友人がパスワードを盗まれました。盗まれたときは一括で盗まれ、同時に登録された複数のウェブサイトのパスワードも盗まれました。

パスワードはどのようにしてハッカーに盗まれるのでしょうか?

まず第一に、アカウントが盗まれており、最初の疑いはトロイの木馬に襲われた問題です。ハッカーはキーロギングやフィッシングなどの方法で、トロイの木馬をパソコンに埋め込みパスワードを盗むことができます。 そのため、著者は盗まれたパスワードを持つ複数の友人のコンピューターを調べましたが、トロイの木馬は見つからず、彼らのアカウントがトロイの木馬を通じて盗まれたことは明らかでした。

自分のコンピュータの問題ではないので、登録されたウェブサイトは「誰かがデータベースにドラッグして取り込んだ」可能性が高いです。ここにドラグデータベースの説明があります。いわゆる「ドラッグライブラリ」とは、ユーザーのデータをSQLインジェクションやその他の方法で盗まれ、ユーザー名やパスワード情報が取得されることです。CSDN、天涯、小米など多くの有名なウェブサイトが「ドラッグライブラリ」イベントを発行しています。ハッカーは削除されたデータベースを交換・集中管理し、次々と「ソーシャルワークライブラリ」を形成しています。 ソーシャルワークのデータベースには「ドラッグされた」ウェブサイトから多くのアカウントパスワード情報が保存されているため、著者はハッカーがよく使うソーシャルワークのデータベースサイトで友人のアカウント情報を検索し、案の定、リークされたアカウントパスワードを見つけました。





この図書館を見て、皆さんはこのソーシャルワークのデータベースが誰のものか理解すべきだと思います。

へへ。


スクリーンショットからも、友人のパスワードが51CTOから漏れ出し、パスワードはMD5で暗号化されていることがわかりますが、このパスワードを解読することは不可能ではなく、インターネット上にはMD5の原文を問い合わせることができるウェブサイトが多く存在します。例えば、CMD5で暗号文を検索して、パスワードの原文を素早く発見することができます。

復号が成功した後、友人の該当アカウントにパスワードでログインすると、やはりログインは成功しました。 パスワードの漏洩経路が判明したようです。 では、今の疑問は、ハッカーが友人の複数のウェブサイトにどのように侵入したのかということです。

衝撃的な地下データベース

今こそ、私たちのもう一つのツール(www.reg007.com)を犠牲にする時です。多くの人が同じメールアドレスを使って多くのビジネスを登録する習慣があるため、このウェブサイトを通じて特定のメールアドレスで登録されたウェブサイトを問い合わせることができます。私がこのウェブサイトを初めて見たとき、友人たちと私は驚きました。以下は特定のメールアドレスを問い合わせた際の状況で、合計21の登録ウェブサイトが問い合わせられたことです:

上記のことは警戒心を煽るものではありません。なぜなら、実際には「資格情報を不正に処理する」ウェブサイトが多すぎますし、黒人産業に対する大規模な「銀行洗浄」「認証情報不正処理」「銀行スワイプ」の例も多数存在するからです。 これらの用語の説明は以下の通りです。「ライブラリのドラッグ」で大量のユーザーデータを入手した後、ハッカーは一連の技術的手段やブラック業界チェーン(通常「データベース洗浄」と呼ばれる)を通じて貴重なユーザーデータを収益化し、最後にハッカーが取得したデータを使って他のウェブサイトにログインしようとします。これを「認証情報詰め込み」と呼びます。多くのユーザーが統一ユーザー名パスワードを好むため、「認証情報詰め込み」は非常に報酬が高いことが多いのです。

脆弱性投稿プラットフォーム「Dark Cloud」で検索すると、多くのウェブサイトに認証情報詰め込みの脆弱性があることがわかり、一方で攻撃側と防御側は繰り返し互いに防御し合ってきました。また、「認証情報詰め込み」という攻撃手法は「シンプル」「荒削り」「効果的」といった特徴から黒人業界の間で特に人気がありました。

著者はこのプロジェクトの最中に中国の有名な郵便受けで大規模な認証情報の詰め込み事件に遭遇したことがあり、その当時交換されたメールの一部を以下にします。

異常解析

今朝10時頃から夜21時10分頃まで、明らかに異常なログインがあり、基本的にハッキングと判断されています。 ハッカーは自動ログインプログラムを使い、同じIPから短時間で大量のログインリクエストを同時に発生させ、1分間に600件以上のリクエストを発生させます。 本日一日を通して、合計22万5千件の成功ログインと4万3千件の失敗ログインが発生し、約13万件のアカウント(1アカウントあたり2件のログイン)が関与しました。

ハッカーはWAPの基本版からログインし、ログイン成功後に標準版に切り替え、標準版のログイン通知をオフにしたことで、アカウントに紐づく携帯電話番号に修正されたテキストメッセージのリマインダーを発動させました。 ログ分析の結果、ハッカーがログイン通知を改変した後も他の行動は見つからず、ログイン後にメールも送信していませんでした。