[Trygg kommunikasjon] Sannheten om at databasen til nettsiden 12306 til Kinas jernbanedepartement ble fjernet

Juleskrekk: 12306 brukerdatalekkasje?

Klokken 10 dukket det opp en alvorlig sikkerhetssårbarhet på en sårbarhetsplattform – databasen med 12 306 brukere ble kompromittert. For å verifisere nøyaktigheten av denne informasjonen, gjennomførte vårt team en etterforskning av hendelsen.

Gjennom noen sosialarbeiderforum på Internett har det faktisk blitt funnet spor etter at 12306 ble dratt ut, og følgende bilde er et skjermbilde fra et sosialt arbeidsforum:

For øyeblikket sirkulerer det to versjoner på Internett, nemlig 14M og 18G, som har blitt distribuert blant undergrunns-svarte produsenter, og vi mistenker at det finnes to muligheter for passordlekkasje: den ene er at 12306-nettsiden har blitt dratt inn i databasen, og den andre er at tredjeparts ticket-grabbing-programvareselskapet har blitt hacket og databasen har blitt dratt ut.

Siden 12306 er autentisert med ekte navn, inneholder den mye viktig informasjon, inkludert ID-kort og mobiltelefonnumre.

Gammel artikkel ny push: Hvem er passordet ditt i?

For noen dager siden fikk mange venner rundt meg passordene sine stjålet, og da de ble stjålet, ble de stjålet i batcher, og mange forskjellige nettsidepassord registrert av seg selv ble stjålet samtidig.

Hvordan blir passord stjålet av hackere?

Først og fremst blir kontoen stjålet, den første mistanken er problemet med at datamaskinen blir truffet av en trojansk hest, hackere kan bruke tastetrykk, phishing og andre metoder for å stjele passord ved å implantere trojanske hester i personlige datamaskiner. Derfor sjekket forfatteren datamaskinene til flere venner med stjålne passord rundt seg og fant ingen trojanske hester, og det var åpenbart at kontoene deres var stjålet gjennom trojanske hester.

Siden det ikke er et problem med din egen datamaskin, er det sannsynlig at nettstedet som er registrert har blitt "dratt av noen for å bli dratt inn i databasen", her er en forklaring på drag-databasen, det såkalte "drag-biblioteket" er at brukerdataene til nettstedet blir stjålet ved SQL-injeksjon eller andre metoder, og brukernavn og passordinformasjon for dette nettstedet er innhentet, og mange kjente nettsteder har utstedt "drag library"-hendelser, som CSDN, Tianya, Xiaomi osv., hackere vil utveksle og sentralisere de neddragne databasene, og danne ett såkalt "sosialt arbeidsbibliotek" etter det andre, Sosialarbeiderdatabasen lagrer mye kontopassordinformasjon fra det "drarte" nettstedet, så forfatteren søkte etter en venns kontoinformasjon på et sosialt arbeidsdatabase-nettsted som ofte brukes av hackere, og ganske riktig fant han det lekkede kontopassordet:





Når jeg ser på dette biblioteket, tror jeg alle bør forstå hvem sin sosialarbeiderdatabase dette er.

Hehe.


Det kan sees på skjermbildet at vennens passord ble lekket fra 51CTO, og passordet ble kryptert med MD5, men det er ikke umulig å løse dette passordet, og det finnes mange nettsteder på Internett som kan spørre i originalteksten til MD5, for eksempel ved å søke etter chiffertekst på CMD5, og raskt oppdage originalteksten til passordet:

Etter vellykket dekryptering, logg inn på vennens relevante konto med passordet, og ganske riktig, innloggingen var vellykket. Det ser ut til at måten passordet ble lekket på har blitt funnet. Så nå er spørsmålet, hvordan hacket hackere seg inn på flere nettsider til venner?

Sjokkerende undergrunnsdatabase

På dette tidspunktet er det på tide å ofre et annet verktøy vi har (www.reg007.com), fordi mange har for vane å bruke samme e-postadresse for å registrere mye virksomhet, og gjennom dette nettstedet kan du spørre hvilken nettside som er registrert med en bestemt e-postadresse. Første gang jeg så denne nettsiden, ble vennene mine og jeg overrasket. Følgende er situasjonen når jeg søkte inn en bestemt e-post, totalt 21 registrerte nettsteder ble forespurt:

Det som sies ovenfor er ikke alarmistisk, fordi det finnes for mange nettsteder som kan «studse inn legitimasjoner» i virkeligheten, og det finnes også mange eksempler på storskala «bankvasking», «credential stuffing» og «banksveiping» av svarte industrier. Her er en forklaring på disse begrepene: Etter å ha fått tak i store mengder brukerdata gjennom «å dra biblioteket», vil hackere tjene penger på verdifulle brukerdata gjennom en rekke tekniske metoder og den svarte industrikjeden, som vanligvis kalles «databasevask», og til slutt vil hackeren prøve å logge inn på andre nettsteder med dataene hackeren har fått tak i, noe som kalles «credential stuffing», fordi mange brukere liker å bruke et enhetlig brukernavn, og «credential stuffing» er ofte svært givende.

Når man søker på sårbarhetsinnsendingsplattformen "Dark Cloud", finner man at mange nettsteder har sårbarheter knyttet til credential stuffing, og samtidig har den offensive og defensive siden gjentatte ganger forsvart seg mot hverandre, og angrepsmetoden "credential stuffing" har alltid vært spesielt populær i den svarte industrien på grunn av sine egenskaper som "enkel", "grov" og "effektiv".

Forfatteren opplevde en gang en storstilt hendelse med å fylle inn legitimasjon i en kjent postkasse i Kina under prosjektet, og følgende er noen utdrag fra e-postene som ble utvekslet på den tiden:

Anomalianalyse

Fra omtrent klokken 10 i morges til slutten av klokken 21:10 på kvelden, er det en åpenbar unormal innlogging, som i praksis er fastslått å være hacking. Hackere bruker automatiske innloggingsprogrammer for å starte et stort antall innloggingsforespørsler fra samme IP på kort tid, med samtidige forespørsler og høy forespørselsfrekvens, opptil mer enn 600 innloggingsforespørsler per minutt. Gjennom dagen i dag skjedde totalt 225 000 vellykkede innlogginger og 43 000 mislykkede innlogginger, med omtrent 130 000 kontoer (2 innlogginger per konto);

Hackeren logget inn fra grunnversjonen av WAP, byttet til standardversjonen etter vellykket innlogging, og slo av innloggingsvarslingen i standardversjonen, noe som utløste en tekstmeldingspåminnelse med endringer i mobilnummeret knyttet til kontoen. Fra logganalysen ble det ikke funnet noen annen atferd etter at hackeren endret innloggingsvarslingen, og hackeren sendte ingen e-poster etter innlogging.