A 站数据泄漏后，我们深究了这 5 个细节

2018-06-14 来源：

6 月 13 日凌晨，A 站发布公告称网站遭遇黑客攻击，近千万条用户数据外泄，我们对此事件进行了报道(点这里)。

不过，在 A 站发布的公告中，我们还发现一些待考究的细节，比如，公告中说泄漏的是 A 站已经加密存储的密码，那既然不是明文密码，泄漏之后会被黑客破解吗?A站所说的更强的密码策略，到底是什么?拖库的部分数据已经能在 github 上看到，A站到底是什么时候知道用户的数据泄漏的?摩拜真的被拖库了?已在暗网上售卖的网站 shell 和内网权限究竟会对用户和A站产生什么样的影响?

带着这些疑问我们找到了安全专家西盟。

1.泄漏的是已经加密存储的密码，并不是明文，后果严重吗?

在公告中，AcFun 表示泄露的数据包括用户 ID、昵称以及加密存储的密码。

也就是说，黑客拿到的并不是你的明文密码，那这些加密存储的密码是否会被很快破解?

一般而言，网站对密码的存储都是加密存储，真实密码是多少，A站也不知道。

比如，你的密码是345678，但在 A 站中，可能是下图红框中的16位或32位的一串数字。

▲某MD5加密算法密码破解网站

只是，加密算法有容易破解的，也有难度较大相对不容易破解的。目前市面上最常见的加密算法是 MD5，由于使用的范围比较广，所以也“成功”吸引了黑客的注意，目前，针对这类加密算法，已经有很多在线的破解网站，而且破解的能力可能有点超出你的想象。

如果你的密码是六位以内的密码，而且你所登录的网站还用的是MD5的加密算法，那么，不用怀疑，只要这家网站被黑客盯上，你的密码一扫一个准(上图中写的是100%)。

2、更强的密码策略是什么?普通用户怎么办?

在公告中，我们看到A站说自2017年7月7日之后，用了更强的加密算法策略，那这种策略是什么?

西盟猜测，A站此次被拖库，不仅仅是密码的问题，在拖库之前，黑客一定是已经通过SQL或者XSS等漏洞攻击手段入侵了网站，才能被拖库，所以网站本身是有漏洞的，要先堵住漏洞。

而后，再谈真被入侵了，再采取哪些措施。公告中所说的更强的加密策略，西盟猜测应该是升级了加密算法，比如舍弃 MD5，采用了 sha256 等破解难度更高的加密算法。

所以，我们看到公告中说，7月7号他们升级了加密算法，但这只针对用户再次输入密码时才能升级，不输入的话，A站不知道你的原有密码，它数据库中存储的是不可逆的加密数据(虽然部分可能可以通过上面的破解网站破解)，也就没有办法直接对原始密码进行重新加密，除非用户重新登录时才可以重新加密存储。而很多用户没有重新登录的话，最后的结果就是，东窗事发，黑客拖库获得了大量的较容易破解的加密数据，上千万用户人心惶惶。

那高危用户现在该怎么办?西盟给出了三点常规建议：

1、重要网站不要和普通网站用一个密码。
2、密码尽量复杂点。
3、尽量访问https的网站等。

3.拖库的部分数据已经能在 github 上看到?A站到底是什么时候知道用户的数据泄漏的?

今天，在 A 站发表声明和暗网兜售数据的截图之外，雷锋网编辑还看到了部分在 github 上已经公布的数据，这意味着，黑产不用费劲去弄比特币在暗网上购买，直接点进去就能得到部分用户的泄漏数据。