[Bezpečná komunikácia] Pravda o tom, že databáza webovej stránky 12306 Ministerstva železníc Číny bola odstránená

Vianočný horor: Únik používateľských dát 12306?

O 10:00 sa na platforme pre zraniteľnosti objavila vážna bezpečnostná zraniteľnosť – databáza 12306 používateľov bola kompromitovaná. Aby sme overili presnosť týchto informácií, náš tím vykonal vyšetrovanie incidentu.

Prostredníctvom niektorých fór sociálnej práce na internete sa skutočne našli stopy po ťahaní 12306 a nasledujúca fotografia je snímka obrazovky na fóre sociálnej práce:

V súčasnosti na internete kolujú dve verzie, a to 14M a 18G, ktoré sa šíria medzi podzemnými černošskými výrobcami, a predpokladáme, že existujú dve možnosti úniku hesla – jedna je, že webová stránka 12306 bola stiahnutá do databázy, a druhá je, že softvérová spoločnosť tretích strán na získavanie tiketov bola hacknutá a databáza bola stiahnutá.

Keďže 12306 je overený skutočným menom, obsahuje množstvo dôležitých informácií, vrátane občianskych preukazov a mobilných telefónnych čísel.

Starý článok nový push: Na koho máte heslo?

Pred pár dňami mnohým priateľom okolo mňa ukradli heslá, a keď boli ukradnuté, boli ukradnuté po dávkach a naraz bolo ukradnutých mnoho rôznych hesiel na webstránky, ktoré si sami zaregistrovali.

Ako hackeri kradnú heslá?

Po prvé, účet je ukradnutý, prvým podozrením je problém, že počítač zasiahne trójsky kôň, hackeri môžu používať keylogging, phishing a iné metódy na krádež hesiel implantovaním trójskych koní do osobných počítačov. Preto autor skontroloval počítače niekoľkých priateľov s ukradnutými heslami okolo seba a nenašiel žiadne trójske kone, a bolo zrejmé, že ich účty boli ukradnuté cez trójske kone.

Keďže to nie je problém s vaším vlastným počítačom, je pravdepodobné, že registrovaná webová stránka bola "niekým ťahaná, aby bola ťahaná do databázy". Tu je vysvetlenie drag databázy, tzv. "drag knižnica" znamená, že používateľské údaje stránky sú ukradnuté SQL injekciou alebo inými spôsobmi, a získavajú sa používateľské mená a heslá tejto stránky, a mnohé známe webové stránky vydali udalosti typu "drag library", ako CSDN, Tianya, Xiaomi a podobne, hackeri si vymieňajú a centralizujú stiahnuté databázy, vytvárajúc jednu takzvanú "knižnicu sociálnej práce" za druhou. Databáza sociálnych pracovníkov uchováva veľa údajov o heslách k účtom z "ťahaného" webu, takže autor hľadal informácie o účte priateľa na webovej stránke sociálnej práce, ktorú bežne používajú hackeri, a naozaj, našiel uniknuté heslo k účtu:





Keď vidím túto knižnicu, myslím, že každý by mal pochopiť, o čiu databázu sociálnych pracovníkov ide.

Hehe.


Zo screenshotu je vidieť, že heslo priateľa uniklo z 51CTO a heslo bolo zašifrované pomocou MD5, ale nie je nemožné toto heslo vyriešiť a na internete existuje mnoho webových stránok, ktoré dokážu vyhľadávať pôvodný text MD5, napríklad vyhľadávaním šifrovaného textu v CMD5 a rýchlym objavením pôvodného textu hesla:

Po úspešnom dešifrovaní sa prihláste do príslušného účtu svojho priateľa pomocou hesla a naozaj, prihlásenie bolo úspešné. Zdá sa, že spôsob, akým bolo heslo uniknuté, bol nájdený. Takže teraz je otázka, ako sa hackerom podarilo nabúrať do viacerých webových stránok priateľov?

Šokujúca podzemná databáza

V tejto chvíli je čas obetovať ďalší náš nástroj (www.reg007.com), pretože mnohí ľudia majú vo zvyku používať tú istú e-mailovú adresu na registráciu veľkého množstva podnikateľov, a cez túto stránku môžete vyhľadať, ktorá stránka bola zaregistrovaná s určitým e-mailom. Keď som túto stránku prvýkrát videl, moji priatelia a ja sme boli ohromení, nasledujúca je situácia, keď som oslovil určitý e-mail, bolo dopytovaných celkovo 21 registrovaných webových stránok:

To, čo bolo povedané vyššie, nie je alarmistické, pretože existuje príliš veľa webových stránok, ktoré dokážu "naplniť prihlasovacie údaje" v realite, a existuje aj mnoho príkladov rozsiahleho "prania bánk", "falšovania prihlasovacích údajov" a "kradnutia bánk" čiernych odvetví. Tu je vysvetlenie týchto pojmov: po získaní veľkého množstva používateľských dát "ťahaním knižnice" hackeri monetizujú cenné používateľské dáta technickým spôsobom a čiernym priemyselným reťazcom, ktorý sa zvyčajne nazýva "database washing", a nakoniec sa hacker pokúsi prihlásiť na iné webové stránky s údajmi získanými hackerom, čo sa nazýva "credential stuffing", pretože mnohí používatelia radi používajú jednotné používateľské meno a "credential stuffing" je často veľmi uspokojujúce.

Vyhľadávaním na platforme na podávanie zraniteľností "Dark Cloud" sa dá zistiť, že mnohé webové stránky majú zraniteľnosti na overovanie prihlasovacích údajov, pričom zároveň sa útočná aj defenzívna strana opakovane bránili proti sebe navzájom, pričom metóda útoku "upchávanie prihlasovacích údajov" bola vždy obzvlášť populárna v čiernom priemysle vďaka svojim vlastnostiam ako "jednoduché", "drsné" a "efektívne".

Autor sa raz počas projektu stretol s rozsiahlym incidentom s vložením oprávnení do známej poštovej schránky v Číne, a nasledujú niektoré úryvky z e-mailov, ktoré si vtedy vymenili:

Analýza anomálií

Od približne 10:00 ráno do konca okolo 21:10 večer je zjavné abnormálne prihlásenie, ktoré je v podstate identifikované ako hackovanie. Hackeri používajú automatické prihlasovacie programy na iniciovanie veľkého množstva prihlasovacích požiadaviek z tej istej IP adresy v krátkom čase, s súbežnými požiadavkami a vysokou frekvenciou, až do viac ako 600 prihlasovacích požiadaviek za minútu. Počas dnešného dňa došlo k celkovo 225 000 úspešným prihláseniam a 43 000 neúspešným prihláseniam, čo zahŕňa približne 130 000 účtov (2 prihlásenia na účet);

Hacker sa prihlásil zo základnej verzie WAP, po úspešnom prihlásení prešiel na štandardnú verziu a v štandardnej verzii vypol notifikáciu prihlásenia, čím vyvolal pripomenutie textovej správy s úpravami mobilného čísla viazaného na účet. Z analýzy logov sa po úprave notifikácie prihlásenia hackerom nenašlo žiadne ďalšie správanie a hacker po prihlásení neodoslal žiadne e-maily.