漫话：如何给女朋友解释什么是撞库、脱库和洗库？

最近，安全圈又有一个大新闻，微博名为@安全_云舒的微博用户在发文称：“很多人的手机号码泄露了，根据微博账号就能查到手机号……已经有人通过微博泄露查到我的手机号码，来加我微信了。”

并且，据说微博CEO的手机号码也被泄露了！（微博CEO，微博名@来去之间，江湖人称"来总"）

这件事情闹得挺大，经常刷微博的女朋友也知道了，然后过来问我：

微博CEO @来去之间 转发微博称数据"是 2014 年以前网易那次撞库的"

撞库

”撞库”是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。

很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户从而尝试登录B网址，这就可以理解为撞库攻击。

说的简单一点，就是一个小偷，入室盗窃后偷到了一串钥匙，然后他拿着这串钥匙，在整个小区里面挨家挨户的进行开锁。这个过程就是撞库。

微博官方解释称，网络上的泄露数据来源于："2018 年底，有用户通过微博相关接口通过批量手机批量上传通讯录，匹配出几百万个账号昵称"。

这种操作确实是撞库的一种，就是拿着事先准备好的批量手机号，再通过微博的接口匹配对应的微博账号。

这说明之前确实因为微博的接口自身不够安全，导致数据被别人通过撞库的方式获取到了。虽然后期及时加强了安全策略，但是还是有一大批数据被暴露了。

漏水

"漏水"是指某些企业自身出现风险导致的数据泄露。

一般是因为企业没有按照统一规范流程搭建业务，比如没有做好关键数据隔离、没有做好权限分层管控、没有做好数据加密存储等而出现的数据安全问题。

拖库

拖库本来是数据库领域的术语，指从数据库中导出数据。到了黑客攻击泛滥的今天，它被用来指网站遭到入侵后，黑客窃取其数据库。

黑客通过技术手段窃取数据库的过程叫做拖库。就像小偷偷东西是一样的。

“拖库”的通常步骤为：

• 1、黑客对目标网站进行扫描，查找其存在的漏洞，常见漏洞包括SQL注入、文件上传漏洞等。（小偷蹲点）

• 2、通过该漏洞在网站服务器上建立“后门(webshell)”，通过该后门获取服务器操作系统的权限。（小偷想办法进入室内）

• 3、利用系统权限直接下载备份数据库，或查找数据库链接，将其导出到本地。（小偷盗走值钱的东西）

小偷想要入室盗窃的前提就是可以入室，那么，在互联网中，黑客一般都是利用网站自身存在的漏洞来入侵的。

最常见的网站入侵的方式就是黑客利用网站的漏洞来对网站进行攻击。这里说的网站漏洞包括网站应用自身的漏洞、网站使用的WEB服务器的漏洞、网站使用的开源框架中的漏洞、网站使用的数据库漏洞等。

比如，如果应用自身没有做防SQL注入、存在文件上传漏洞等，就极大可能被黑客入侵。

黑客还有可能会利用系统漏洞，在特定的网站上进行挂马，如果网站管理员在维护系统的时候不小心访问到这些网站，就可能被植入木马，也会引发后续的拖库风险。

洗库

“洗库”，属于黑客入侵的一种，就是黑客入侵网站，通过技术手段将有价值的用户数据归纳分析，售卖变现。

说的简单一点，就是一个小偷，入室盗窃后偷到了很多东西，他对这些赃物分类，然后进行销赃的过程。

就像本次 5.38 亿条微博用户信息在暗网出售，其中，1.72 亿条有账户基本信息，售价 0.177 比特币。这个过程就是在洗库。

本次洗库的内容涉及到的账号信息包括用户 ID、账号发布的微博数、粉丝数、关注数、性别、地理位置等。有用户在 Telegram 上通过交易，已经买到了自己微博绑定的主要信息，包括账号身份证号、密码、手机号等等。

关于作者：漫话编程，是一个通过漫画+音频的形式讲解枯燥的编程知识的公众号。致力于让编程变得更有乐趣。

有道无术，术可成；有术无道，止于术

欢迎大家关注Java之道公众号

好文章，我在看❤️