|
针对网传的京东12G用户数据泄漏变乱，12月11日，京东方面临腾讯财经独家回应称，该数据源于此前2013年Struts 2的安全弊端，现在京东另有“极个别”体系使用Struts2框架，但已颠末妥善升级，“暂不会出现安全标题”。
' p, k/ Y1 ~0 M) q+ a12月11日，自媒体“一本财经”报道称，一个京东的12G 数据包近期在暗盘上流通，此中包罗用户名、暗码、邮箱、QQ号、电话号码、身份证等多个维度，数据多达数千万条。随后也有京东用户反映，自己的京东白条近期被盗刷。
% @ r+ S" L2 G" c京东对此回应称，经信息安全部门开端判定，该数据源于此前“2013年Struts 2的安全弊端标题”，并表现，其时国内险些全部互联网公司及大量银行、当局机构都受到了影响，导致大量数据泄漏。 % W5 f2 C6 Q2 g: i
12月11日，京东方面临腾讯财经表现，在Struts 2的安全标题发生后，京东就完成了体系修复，并分析出大概受到安全威胁的用户账户，升级安全体系，同时提示风险用户升级安全步调。现在京东仍有少数体系应用此框架，但使用范围紧张在公司内部。 $ K: v( p5 i M( F9 F
但对于为何2013年的体系弊端，在近期被发现有用户信息被泄漏的情况，京东方面并未正面回应。京东称，在没有拿到自媒体所报道的数据库前，无法给出更加具体的信息。 5 P M. H' P5 w8 x: I4 M
Struts2是什么？ ; p; J$ C/ w) ?" t' r# a0 e' H1 _
Struts是Apache基金会的一个开源项目，广泛应用于大型互联网企业、当局、金融机构等网站创建，并作为网站开辟的底层模板使用。
" q2 z6 G0 m8 V8 JStruts 2是Struts的下一代产物，是在Struts 和WebWork的技能底子上举行归并，形成的全新框架。
; G; R d4 E, i5 D9 t2013年7月17日，Struts2曾出现高危弊端。包罗国内很多着名网站在内的大量网站，受到此弊端差别水平的影响。攻击者可以使用该弊端实验恶意java代码，终极导致网站数据被偷取、网页被篡改等严峻效果，使网站及网民安全受到了极大的威胁。
& O! i# @; V* K: o' x `7 k国内一家大型互联网企业的技能开辟职员对腾讯财经表现，Struts是基于Java语言的一款开源框架，雷同基于PHP语言的Yii和Laravel。 ; h- K1 m, u' m& J% _1 G3 I6 v
“前人在使用底子语言举行操纵时发现了共性，便将底子性的内容提取，于是就有了框架。而开源框架指的是，不但给你框架，还将这个框架的搭建方法，以及源码一并给你。”上述开辟职员对腾讯财经表现，在此底子上，任何人都可以根据须要更改框架，乃至还可以在此过程中发现框架的不敷与弊端。 2 Q* P& I+ z: s
该人士提到，Java语言的开辟服从低于PHP，但是运行速率优于后者，相对来说更得当项目较大的体系。国内的电商平台一样平常都使用 Java语言, 比方淘宝、京东。 1 Y4 N/ r1 e# T# a6 H, \
腾讯财经从蚂蚁金服一位负责开辟的人士处相识到，固然蚂蚁金服方面以及阿里巴巴团体业务团队的开辟语言根本以JAVA为主，但很早就不再使用Struts框架。缘故因由紧张是Struts框架自己存在安全弊端，前后端分离，且该技能早就过期。
/ ^: o6 ~7 v8 W上述人士对腾讯财经表现，现在Java开辟主流的框架是spring mvc，包罗各家在spring的底子上自己研发的定制框架。 ; u+ }! G8 f& \& P1 a
风险安在？ ! |/ Z0 t: N2 |
针对“框架风险对于体系安全性威胁”的话题，一家上市互联网企业的步调开辟职员对腾讯财经表现：“框架就像是一个柜子，外貌已经在那里了，怎么隔层，放哪些东西都是由你自己决定。隔层、放置的东西都是小标题，但是若框架出现标题，那影响就是根天性的了。” 5 d9 T1 R% W# Z, s- s# w1 n+ s" ?
他提到，雷同Struts2在2013年出现的高危弊端，假如框架自身安全性存在标题，体系就极轻易被攻击，以是有财力、本事的人通常都自造框架。 , G2 f+ D" Q3 I- i
“但是很多步调员面临的标题是，公司要求快速迭代，产物来日诰日要上线，你本日还要写框架，费时费力，索性就直接借助开源框架。”他说。 & g M9 A7 j# u: X8 f( Q
据其先容，Struts 2官方早先曾就框架大概存在的安全弊端举行了声明。开辟职员在运用该框架编写代码时，须要举行须要的安全处置惩罚。 " B, }6 [' K: y4 f/ O) z
' A% k; y. T/ S8 F5 H& B4 U7 E% W
Struts2官方提示安全弊端 & j* q- v" |' ]& X( p; j R
比方，当出现弊端是，Struts会提示用户升级，但若临时无法升级，体系会发布最高安全品级为“紧张”或是“极其紧张”不等的提示，并会附上相应的管理步调。
# n" l! w$ x. a- S; f: A8 k9 e& B* r6 f* J. x
9 D1 R5 m0 m2 v+ t8 f3 ]' O
最高安全品级为紧张 $ Z4 m+ c2 p' M; S
$ U# ]. y; J- m& q4 x: K" t! M. g" t$ s8 x5 \/ c4 z
相应的管理步调 , \' M% _% l7 ~- T
) U$ C- S; c- o& Q: K h, f4 d% U
9 Z$ g( v0 _( A8 Y" |. ^1 o. k
, P6 ^+ i% h! o# y
4 ^+ D1 ^0 }, s4 S0 I% ^5 e% R
全部Struts2开辟职员必读，最高安全品级为“极为紧张”的安全提示
5 I: z0 U: W: l- k$ E“这就像是已经告诉你，冬天很轻易感冒，要多穿点衣服。但假如你还是少穿衣服，没有应用这个安全处置惩罚步调，那感冒就怪不了别人了。”上述开辟职员说。
/ z& a$ P2 Q- k# [2 N/ L据相识此前2013年7月，Struts 2 曾存在2个高危弊端，这些弊端可使黑客取得网站服务器的“最高权限”，从而使企业服务器变成黑客手中的“肉鸡”。据媒体报道，其时有7成大型互联网公司及当局构造受到该弊端影响。
, p& V2 J: K, q! @. c' h0 k) u; I) G金融银行类网站此前是重灾区 ) |6 ~6 G1 u& c& H1 t1 @) A
对于现在Struts框架的应用状态，前文所述蚂蚁金服方面开辟人士对腾讯财经表现，现在仍使用Struts的公司不在少数，此中大多数都由于技能惰性，不乐意改进原来可用的技能方案。
h" P4 N2 a1 U* V“Struts在早期是Java后端开辟很成熟的管理方案，被大量接纳，厥后一连发作了不少标题和弊端，但是企业要重新更换团体框架，不管是在技能层面，还是运营层面，都有不少阻力。”他说。
. K! `2 v1 G- l据乌云平台弊端陈诉，2013年Struts2出现高危弊端之后，淘宝、京东等大型互联网厂商均受此影响，而且弊端使用代码已经被强化，可直接通过欣赏器的提交对服务器举行恣意操纵并获取敏感内容。
: z, L; @& O; s# v7 M同时Struts弊端影响巨大，受影响站点以电商、银行、流派、当局居多。此中，金融银行类网站更是成为此次弊端的重灾区。
" [" x4 @& J+ F1 T8 j6 \对此上述人士以为，在Struts框架曝出大量弊端，渐渐被新技能代替后，仍有不少银行机构由于技能反应较慢相沿此技能。“早期的网银优盾等本事，都是通过设置更多的人为停滞来减小安全风险。银行之外，像京东如许让用户修改暗码，实在不能克制用户信息泄漏，只能说是增强对于暗码的掩护。”
- _) q' f; V$ P( D# ^% N$ G据“一本财经”此前援引业内人士说法，京东此次泄漏的数据已被贩卖多次，“至少有上百个黑产者手里把握了数据”。 3 ^; B3 k! p6 S( O/ ^6 E
一位互联网企业旗下电商平台的技能职员对腾讯财经表现，已传播出去的信息，或存在着撬动其他数据的大概性。这是由于黑产者可借此举行进一步的“撞库”操纵。 F' ]; t# U* `. p, G
撞库是指，黑客通过网络互联网已泄漏的用户和暗码信息，天生对应的字典表，实验批量登岸其他网站后，得到一系列可以登录的用户信息。 |) R: r- J! g. y( X- C( ^4 S
据其先容，一样平常情况下体系在数据库中存储用户暗码时，并非存储暗码原文，而是存储经MD5、Sha1等加密处置惩罚之后的数据。若获取了暗码的加密串，则可通过反编译的情势获取暗码的原文。 3 f0 F8 `+ l. \5 M2 s0 v+ o
“颠末加密处置惩罚后，破解暗码通常须要较长时间。但是若暗码已经在数据库中被解密，相较于新暗码，黑客通常可以瞬间就破解掉。”该人士说。
1 a( v- ^5 r. K据相识。很多用户在差别网站使用的是雷同的帐号暗码，因此黑客可以通过获取用户在A网站的账户，从而实验登录B网址。 | 
|手机版|Archiver|
( 桂ICP备12001440号-3 )|网站地图
发表于 2019-6-13 00:52:34
