撞庫攻擊：一場需要使用者參與的持久戰

一，背景：
使用者資料洩露一直是如今網際網路世界的一個焦點，從最近的京東撞庫抹黑事件，到之前的CSDN，如家使用者資料的洩露，服務商和黑客之間在使用者資料這個舞臺上一直在進行著曠日持久的攻防戰。
對於大多數使用者而言，撞庫可能是一個很專業的名詞，但是理解起來卻比較簡單，撞庫是黑客無聊的“惡作劇”，黑客通過收集網際網路已洩露的使用者+密碼資訊，生成對應的字典表，嘗試批量登陸其他網站後，得到一系列可以登陸的使用者。

以京東之前的撞庫舉例，首先京東的資料庫並沒有洩漏。黑客只不過通過“撞庫”的手法，“湊巧”獲取到了一些京東使用者的資料（使用者名稱密碼），而這樣的手法，幾乎可以對付任何網站登入系統，使用者在不同網站登入時使用相同的使用者名稱和密碼，就相當於給自己配了一把“什麼鎖都能開的鑰匙”，一旦丟失，後果可想而知。所以說，防止撞庫，是一場需要使用者一同參與的持久戰。

關於撞庫事件的始末下文中也會有詳細的闡釋。
提及“撞庫”，就不能不說“脫褲”和“洗庫”。
在黑客術語裡面，”拖庫“是指黑客入侵有價值的網路站點，把註冊使用者的資料資料庫全部盜走的行為，因為諧音，也經常被稱作“脫褲”，360的庫帶計劃，獎勵提交漏洞的白帽子，也是因此而得名。在取得大量的使用者資料之後，黑客會通過一系列的技術手段和黑色產業鏈將有價值的使用者資料變現，這通常也被稱作“洗庫”。最後黑客將得到的資料在其它網站上進行嘗試登陸，叫做”撞庫“，因為很多使用者喜歡使用統一的使用者名稱密碼，”撞庫“也可以是黑客收穫頗豐。
下圖是黑客，在“脫褲”“洗庫”“撞庫”三個環節所進行的活動。


點選此處看全文