1、布景：
用户数据泄漏一向是此刻互联网世界的一个核心，从比来的京东撞库抹黑事务，到之前的CSDN，如家用户数据的泄漏，办事商和黑客之间在用户数据这个舞台上一向在进行着空费光阴的攻防战。
对大年夜大都用户而言，撞库多是一个很专业的名词，可是理解起来却比较简单，撞库是黑客无聊的“恶作剧”，黑客经由过程汇集互联网已泄漏的用户+暗码信息，生成对应的字典表，测验测验批量登岸其他网站后，获得一系列可以登岸的用户。
以京东之前的撞库举例，起首京东的数据库并没有泄漏。黑客只不外经由过程“撞库”的手法，“刚巧”获得到了一些京东用户的数据(用户名暗码)，而如许的手法，几近可以对任何网站登录系统，用户在不合网站登录时利用不异的用户名和暗码，就相当于给本身配了一把“全能钥匙”，一旦丢掉，后果可想而知。所以说，避免撞库，是一场需要用户一同介入的持久战。
关于撞库事务的始末下文中也会有具体的阐释。
说起“撞库”，就不克不及不说“脱裤”和“洗库”。
在黑客术语里面，”拖库“是指黑客进侵有价值的收集站点，把注册用户的资料数据库全数盗走的行动，因为谐音，也常常被称作“脱裤”，360的库带打算，嘉奖提交缝隙的白帽子，也是是以而得名。在获得大年夜量的用户数据以后，黑客会经由过程一系列的手艺手段和黑色财产链将有价值的用户数据变现，这凡是也被称作“洗库”。最后黑客将获得的数据在其它网站长进行测验测验登岸，叫做”撞库“，因为良多用户喜好利用统一的用户名暗码，”撞库“也能够是黑客收成颇丰。
下图是黑客，在“脱裤”“洗库”“撞库”三个环节所进行的勾当。
2、用户数据与黑色财产：
跟着地下财产链日渐成熟，用户数据可以被敏捷地改变成现金。
(1)用户账号中的虚拟货泉，游戏账号，设备，都可以经由过程生意的编制变现，也就是俗称的“盗号”。
(2)金融类账号好比，付出宝，网银，诺言卡，股票的账号和暗码，则可以用来进行金融犯法和欺骗。
(3)最后一些可回类的用户信息，如学生，打工者，老板等，多用于发送告白，垃圾短信，电商营销。也有专门的告白投放公司，花钱采办这些分门别类的信息。
快速收益和高回报也让愈来愈多的黑客逼上梁山。(刑法里不法进侵计较机系统罪会被判处三年到七年有期徒刑)
而对，信息被泄漏的受害者，按照泄漏信息的种类不合，糊口也会遭到不合程度的影响。
如上图，假定你的多种网站和办事的用户名暗码不异，那可能会承受更大年夜的损掉。
3、黑客如何获得用户数据：
黑客为了获得数据库的拜候权限，获得用户数据，凡是会从手艺层面和社工层面两个标的目标进手。
手艺方面大年夜致分为以下几种：
(1)长途下载数据库文件
这类拖库编制的操纵主如果因为治理员贫乏安然意识，在做数据库备份或是为了便利数据转移，将数据库文件直接放到了Web目次下，而web目次是没有权限节制的，任何人都可以拜候的;还有就是网站利用了一些开源法度，没有点窜默许的数据库;其实黑客每天城市操纵扫描东西对各大年夜网站进行疯狂的扫描，假定你的备份的文件名落在黑客的字典里，就很等闲被扫描到，从而被黑客下载到本地。
(2)操纵web利用缝隙
跟着开源项目标成熟成长，各类web开源利用，开源开辟框架的呈现，良多草创的公司为了削减开辟成本，城市直接引进了那些开源的利用，但却其实不会关心厥后续的安然性，而黑客们在知道方针代码后，却会对其进行深进的阐发和研究，当高危的零日缝隙发现时，这些网站就会遭到拖库的危险。
(3)操纵web办事器缝隙
Web安然实际上是Web利用和Web办事器安然的连络体;而Web办事器的安然则是由Web容器和系统安然两部门构成，系统安然凡是会经由过程外加防火墙和樊篱对外办事端口进行措置，但Web容器倒是必需对外开放，是以假定Web容器爆出漏洞的时辰，网站也会遭到拖库的危险。
社工方面大年夜概有以下几种：
(1)水坑报复打击
黑客会操纵软件或系统缝隙，在特定的网站长进行挂马，假定网站治理员在保护系统的时辰不谨慎拜候到这些网站，在没有打补丁的前提下，就会被植进木马，也会激发后续的拖库风险。
(2)邮件垂钓
黑客会操纵一些免杀的木马，并将其和一些治理员感欢愉爱好的信息绑定，然后经由过程邮件发送给治理员，而当网站治理员下载运行后，也会导致办事器植进木马，激发后续的拖库风险。
(3)社工治理员
对方针网站的治理员进行社会工程学手段，获得到一些敏感后台的用户名和暗码。从而激发的后续拖库。
(4)XSS劫持
有时黑客也会为了获得某一些网站的帐号信息，他们会操纵网站垂钓的手段往棍骗用户主动输进，但这类编制只能获得部门帐号的真实信息，并没有进侵办事器。
四，黑客如何解密获得的数据：
凡是环境下，数据库中的小我信息如，邮箱 德律风 真实姓名 性别 等都是明文存储的。而暗码凡是颠末MD5加密以后存储。黑客可以很等闲地把他需要的且是明文存储的数据从数据库中剥离出来。而MD5加密以后的数据这需要必然的解密流程才能看到明文。凡是解密MD5的编制有，暴力破解，字典破解和彩虹表。
(1)暴力破解
暴力破解这是一种"时候耗损型"的破解编制，肯定了密文的加密编制的前提下，利用不异的加密算法，计较
M = H(P)
P为所有的明文空间
H为加密算法
M为密文
然后将计较获得的M和待破解的密文进行比较，假定匹配成功，则对应的明文P即为待破解密文的明文。值得寄望的是，这个列举P和比较M的过程常常是在内存中进行的，也即在计较的过程中一边产生，一边比较，此次破解结束后，下一次破解又要从头开端从头列举，效力不太高。
(2)字典破解
字典破解本质上仍是"暴力破解"的一种，在字典破解中，报复打击者是对所有的明文(M)进行估计较，将所有的明文的HASH都事前计较好，并保留起来。典型的MD5字典以下:
....
password5f4dcc3b5aa765d61d8327deb882cf99
admin21232f297a57a5a743894a0e4a801fc3
cnblogefbc3548e65e7225dcf43d3918d94e6f
....
在进行破解的时辰，破解法度将字典映照Mapping到内存中，然后将HASH和待破解的密文进行逐条比较(这点和暴力破解是一样的)，直到找到某条HASH和待破解的密文不异为止。
值得寄望的是，基于字典的暴力破解时候上比纯真的内存计较型暴力破解更有效力，只要一次的"字典生成"破钞必然的时候，后续的多次破解都可以反复利用这个字典。
寄望，这里说的"字典"指的对应某个算法的字典: MD5 Directory、SHA1 Directory、NTLM Directory等等。
总的来讲，字典报复打击是对纯真的内存型暴力破解的一个改进，它引进了预措置的思惟，但错误谬误也很较着，需要占用及其复杂年夜的磁盘空间，乃至于对长度16以上的暗码字典，完全存储底子不成能。
(3)彩虹表
这是对暴力破解和字典破解的一种折中的破解手艺，在2003年瑞典的Philippe Oechslin 在Making a Faster Cryptanalytic Time-Memory Trade-Off一文中初次被提出，它有效的操纵了预措置的长处，同时又降服了字典破解耗损太大年夜磁盘空间的错误谬误，在这二者中找到了一个均衡点。(具体实现手艺请读者自行百度)
五，黑客如何操纵获得的数据：
除发卖数据获得金钱上的好处以外，黑客还会把获得的数据进行清算，建造成社工库。操纵社工库对其他网站进行撞库报复打击。撞库报复打击本色上就是，以大年夜量的用户数据位根本，操纵用户不异的注册习惯(不异的用户名和暗码)，测验测验登岸其它的网站。
跟着社工库的日趋复杂年夜，愈来愈多的用户和网站遭到来自撞库报复打击的威胁。(此刻网上传播的数据库已超越千万级别，不外这和某些黑客手中所掌控的数据比较起来只不外是冰山一角，详情拜见“道哥的黑板报：中国黑客传说：游走在黑暗中的精灵”)
不单单是账户暗码的泄漏，在复杂年夜的社工库面前，用户的小我隐私也是朝不保夕。好比如家宾馆2000w数据泄漏事务，导致浩繁会员开房记实暴光于互联网。
QQ群用户信息的泄漏，也影响到了几近所有QQ用户的隐私。
再来看比来的京东撞库事务，网上传播了一张所谓的京东数据被泄漏的图片，此中触及到少量京东用户名暗码。
网上的白帽子阐发了此顶用户名暗码的出处，发现图片中的用户名暗码均在，之前别的网站泄漏的数据库中存在。
这也说了然，撞库报复打击在本身具有大年夜量用户名暗码的根本上，可以在不攻破方针系统的前提下，获得方针系统必然的用户信息。
6、用户如何呵护本身的隐私：
作为中国千万网平易近中的一个，你可能感觉，我不消网银，打游戏不充钱，我没有甚么被黑的价值，所以黑客是不会来帮衬我的。其实不然，每个利用互联网办事的用户，在享受快捷便利的时辰，都把本身暴漏在了风险之下。不是黑客会不会值得黑你，而是你有没有可能被波及。下面是几条建议有益于你规避风险。
(1)首要网站/APP的暗码必然要自力，猜想不到，或用1Password如许的软件来帮你记忆;
(2)电脑勤打补丁，安装一款杀毒软件;
(3)尽可能不利用IE浏览器
(4)撑持正版，因为盗版的、破解的老是各类猫腻，后门存在的可能性很大年夜;
(5)不那么可托的软件，可以安装到虚拟机里;
(6)不要在公共场合(如咖啡厅、机场等)利用公共无线，本身包月3G/4G，不差钱，当然你可以用公共无线做点无隐私的事，以下载部片子之类的;
(7)本身的无线AP，用安然的加密编制(如WPA2)，暗码复杂些;
(8)分开电脑时，记得按下Win(Windows图标阿谁键)+L键，锁屏，这个习惯很是很是关头;