题记——不只是CSDN着火了，谁能保护你的隐私，否则你将是坏人下一个猎物 爆库，在黑客的圈子叫做“拖库”，是指将网站的数据库被黑客下载到本地。按照安全圈子的说法，国内有点影响力的网站，2/3都被爆过库（未证实），不要认为大的网站安全万无一失，防爆库是安全架构里非常重要的一点。 密码明文存储的，一定是死路，可逆加密的，只要黑客用点心，基本也挂；不可逆的，类似md5 加密（Md5加密方式虽然被我国专家证明可逆，但是逆向的成本很高，基本无人使用）应该很多人认为比较安全，但是碰到碰撞库一样死悄悄。类似于cmd5.com这样的碰撞库，其规模已经非常巨大，常规的密码的破解几率大于95%，至少，我常用的密码，我断定都在碰撞库里，原因很简单，不在碰撞库里的密码，就我的记忆力是没戏了。从下图是从一个md5加密过的库中随机挑了一个加密后的密码，可以看出，md5单次加密是很容易破解的。 Md5加密的库 Md5.com上查询结果 那么如何规避这样的行为呢？ 一般的做法是两次md5或多次md5等加密保存方法，这种方法很好的避免了加密后的密码在类似cmd5.com这样庞大的碰撞库中出现。但是如果黑客拿到的数据库够大时，比如1千万的用户数据。有心的黑客会发现加密逻辑，再用一天跑一个几千万乃至过亿常用密码的碰撞库，专门来对付你的数据库，对于黑客来说不是什么难事。只要字典够好，破解率可以在60%以上。 Discuz就在使用一种低成本的安全密码保护策略，他们使用随机salt二次加密。这种方法会使黑客破解密码的成本大大提高。黑客如果像破解这样的密码，需要为每一个用户（对应的随机salt）建立一个碰撞库，时间成本很高。对于大量用户的破解，黑客一般是选择放弃，投入产出比太低；但是对与单个明确目标的话，他们还是会乐于尝试的。 不过得明确一点，爆库不等于密码泄漏。因为被爆库后，密码未必会被黑客破解。爆库+不正确的加密方式才叫密码泄露。 社工库 在现在爆库泛滥的年代，加之密码破解率很高，社工库扫描也红火起来。简单来说，你可能会在很多网站使用同样的邮箱和密码，社工库扫描就是利用这点，知道你一个账户后，就可以得到其他更有价值的帐号。哪怕密码不相同，这个密码作为暴力破解中的关键字，也能大大提高破解率。 就CSND那600w泄漏的账户中，我朋友亲测，可以使用一个账户成功登陆了支付宝，并且提示：“支付密码和登录密码一致，请更改…….” 这就是社工库的威力所在！下图是在CSDN库上随机找了一个邮箱，登陆成功。 有人认为黑客这样做收效太小，没有意义，这点就搞错了。黑客并不是像我朋友那样逐一手工尝试的，而是用非常海量的数据批量扫描的，这样成本是非常低的，规模化的操作，甚至很多中招的人只是黑客意外收获，完全是没有成本的战利品。 对于社工库扫描，网站通常的做法就是验证码（防暴力破解也是这种方法）。但是简单的验证码是很容易识别的，网上流传很多验证码的识别源码。类似下面这些验证码都是可以识别的，源码和dll网上可以找到的。
看完后，还对其他信息安全的内容有兴趣？来论坛找找！ |
