乌云白帽眼中不为人知的“12306事件”

 人参与 | 时间:2015年01月09日 08:10

前些天乌云的一个漏洞报告:大量12306用户数据在互联网疯传包括用户帐号、明文密码、身份证邮箱等(泄漏途径目前未知) 引起关注,但对一个还未公开细节的漏洞报告做解读其实是很不靠谱的行为。这事儿12306已经知情,乌云也提供了白帽子发现的证据,所以到底是什么情况一起等官方最终的回复即可,其中不要胡乱猜测甚至误导。既然这个漏洞还未公开并且官方处理调查中,今天就不聊它,聊一下这两天流传较多的13w帐号敏感数据。

这个数据一经传开,立刻导致各种机构与媒体跟进,迅速推出“靠谱”分析,或号称比靠谱更“靠谱”的消息……在各家急着发出声音的时候,乌云的白帽子却还默默无闻的寻找线索,最大化了解影响的范围,一起看下收获:

首先,这份13w数据最原始的文件名应该是酱的:

乌云白帽眼中不为人知的“12306事件” 好文分享 第1张

啥还有售后群?难不成还提供更新与不满意退货服务?但不管怎样,这群号是个非常关键的线索,于是我们的白帽子伪装成买家,在群里还真联系上了一位卖家(数量过于庞大,无法验证真伪,所以模糊处理了)

乌云白帽眼中不为人知的“12306事件” 好文分享 第2张

乌云白帽眼中不为人知的“12306事件” 好文分享 第3张

此人直接扔来7条数据,而且格式与互联网上传播的13w一致,但只有一条与那13w数据中的重合其他的都未能查到,似乎13w数据的完整性证明充满了疑点

乌云白帽眼中不为人知的“12306事件” 好文分享 第4张

嗯,嘴很严(最有价值的黑客获取方式套取失败,所以不能随意下结论)

乌云白帽眼中不为人知的“12306事件” 好文分享 第5张

白帽子想了个好办法,不如取要一些与自己同姓用户的数据,在看看重合率与真实性

乌云白帽眼中不为人知的“12306事件” 好文分享 第6张

乌云白帽眼中不为人知的“12306事件” 好文分享 第7张

结果这些数据在13w数据中一条也没查到(并且经过测试的确可以登录12306)这特么究竟还有多少我们不知道的数据被售卖着?乌云君知情后尿了一下午。。。遗憾的是,这个时间点恰好赶上外界媒体的报道。该卖家似乎嗅到了危险突然下线消失,再也不见了,不见了(今天发现QQ资料也清空了,感谢媒体!感谢XXTV!!)

最终,乌云君将白帽子提供的这些13w数据外的用户敏感数据再次提供给12306(因为这关键的差异数据,恰巧可能会帮助官方定位日志中的关键线索,哪些人第一次得到手,又有哪些人可能买了!)

同时乌云君也希望没在那13w数据中的用户,也尽量定期修改密码。到底有多少我们的密码被泄漏与交易,这个没人能说的清楚。

乌云白帽眼中不为人知的“12306事件” 好文分享 第8张

怕各位说乌云君自己演了一出戏,所以留下这些用户登录帐号的HASH防止无意义的扯蛋,感兴趣的黄姓朋友可以MD5下自己登录帐号,万一在这些证明数据里呢。

52756d1668dd14c1e33a63621477c584

0f8d1248c84d20aad702128ae971b276

a3e6e52a651199a9c6b711bd3a144928

51db1240829c66ee23ad55b9a5fec1d1

becd24f6163450e4cc701287f0b2a70c

4076fb754d18fadba7110ab4f2263a97

e9608120662cfaf91fd25c046439cf3d => 这条是对比13W唯一重复的登录名

6425d54303515197442050bf0437d47e

0f7e29afa557dc52521d1aa5c218a165

77238d3221eaeae50fb1d8ec29ad253c

f24095592060f77f833a045308106bd6

68f7b000cbf818b0043a72e22eee4215

d1755335f4197cd587102d6323b184b7

65c946fe68b6c2e7aa43c0ece1343a2f

04e55fb5a707d157c59c84f699daf007

cefa8782f7d544c8f3b0c112d1898454

cb218a652e29ee22ad64ddbc85071709

b4b2fe87df032d1e7d3861a96e0aa783

9dd044cd6e38d31670bcf321fa3b4ad5

211bc27264346a7c2c3edd68a19829d5

9ceab1e1bda8334bd33eaf60965d831d

c908b6680c56fec6749aa08070d2de8a

关于这13w数据,很多机构组织都在说是撞库,信息来自哪里没说清楚很含糊。不过乌云社区有白帽子给出了自己的一些分析,仅供参考吧(这些已经泄漏并流传多年的数据功不可没啊)

乌云白帽眼中不为人知的“12306事件” 好文分享 第9张

13w的数据民间分析就到此为止,相信官方可以通过日志等信息查出事件的原由,并且给用户一个满意的答案。

这次事件我们看到了官方的积极响应,看到了用户的警惕,也看到了黑产对12306帐号数据的垂涎与掌握程度。如果大家能在平时对自己的帐号安全多付出一些(常改密码,放弃现有密码,因为漏的差不多都可能被人掌握了),企业监控再给力一些(如果是撞库,这么多数据不能静悄悄的撞完吧,总有点动静),就不会发生这次的事情。安全不能总靠救火,还要靠平时的积累。

最后,乌云君在给大家八一八大家所关心的其他信息点吧,分别是:

1)12306官方安全意识

对于12306官方的安全意识如何,大家从乌云历史报告自行体会 厂商信息_中国铁道科学研究院漏洞列表其实这次12306响应与手段都很及时,据微博用户反馈说很多泄漏的帐号迅速被锁定了。但无论因谁的责任,这波数据明显是针对12306购票平台的。希望官方调查最后即使不便公开受影响用户量,也至少能给涉及用户一个提醒或强制的密码变更,他们才是最大的受害者需要保护。最后,如果官方确实存在一个可以撞库的帐号接口漏洞,也希望告知是否发现并且进行了处理,别还可以继续撞库盗窃用户数据。

这里有个槽要吐:在得知泄密后,乌云君第一想法也是改密码,然后删掉帐号内保存的亲友身份证信息,以后需要时在填入。结果发现12306就不!允!许!删!似乎证件在帐号内需要一段时间后才允许删除,就纳闷儿我的数据凭什么不让我删……但能否别明文显示啊(互联网公司做的就很好,敏感信息都有星号保护)

乌云白帽眼中不为人知的“12306事件” 好文分享 第10张

2)第三方抢票泄密可能性

就在这次泄密事件之前,乌云君也在想,这些第三方抢票机构会不会在未告知的前提下记录俺们的信息呢?真的是不太敢用啊。

结果就在前两天,一个漏洞报告似乎印证了这个怀疑 UC浏览器功能性插件“抢票帮”设计不当可能导致抢票者名字/身份证等隐私信息泄漏 (漏洞目前得到了修复)。该漏洞没有记录用户明文密码,所以跟本次泄密无关,但的确要给第三方抢票机构敲响警钟了。要不是官方平台限制太多不好抢,没人会抛弃正规渠道偏要选择第三方购票平台,所以既然选择了咱们就要对得起用户的信任!

3)撞库

原理不提了,很多媒体进行了解释,再逼逼叨就有点像老和尚念经了。

撞库攻击在国内外黑产圈都搞的风风火火,一片繁荣热闹之相。每当有企业的数据库被拖,影响的不仅仅是其本身,还间接的威胁到了这些用户在其他企业下服务!所以撞库的影响与责任至今都捋不清,没人承认。如今泄密多样化:帐号、密码、手机、身份证、住址、好友关系等信息皆可泄漏……看微博一些用户对身份信息泄漏已经习惯了,但此类信息是某些安全机制依赖的核心部分,这不是好事儿需要警惕。

希望互联网企业与多方机构共同努力,对泄密责任方进行追究,令其重视用户信息安全,别在嘴上功夫。并且帐号等泄密事件需要让受害者知情,并且提前做好防范。但是,这可能么?这不可能么??这,可能么……

本文作者:乌云君;转载自:知乎

相关阅读

中国黑客传说:游走在黑暗中的精灵

中国黑客传说:天生我材(完整版)

你不知道的黑暗网络世界,好莱坞Y照背后的故事

顶: 1踩: 0

来源:,欢迎分享,(QQ/微信:13340454)