|
针对网传的京东12G用户数据泄漏变乱，12月11日，京东方面临腾讯财经独家回应称，该数据源于此前2013年Struts 2的安全弊端，现在京东另有“极个别”体系使用Struts2框架，但已颠末妥善升级，“暂不会出现安全标题”。
$ N- T# z ?6 u; h" d12月11日，自媒体“一本财经”报道称，一个京东的12G 数据包近期在暗盘上流通，此中包罗用户名、暗码、邮箱、QQ号、电话号码、身份证等多个维度，数据多达数千万条。随后也有京东用户反映，自己的京东白条近期被盗刷。 8 {- B' g, `' ]" R+ \. l
京东对此回应称，经信息安全部门开端判定，该数据源于此前“2013年Struts 2的安全弊端标题”，并表现，其时国内险些全部互联网公司及大量银行、当局机构都受到了影响，导致大量数据泄漏。
! z9 @+ g$ d6 r3 d12月11日，京东方面临腾讯财经表现，在Struts 2的安全标题发生后，京东就完成了体系修复，并分析出大概受到安全威胁的用户账户，升级安全体系，同时提示风险用户升级安全步调。现在京东仍有少数体系应用此框架，但使用范围紧张在公司内部。
2 j& `3 u) W0 c' L+ n但对于为何2013年的体系弊端，在近期被发现有用户信息被泄漏的情况，京东方面并未正面回应。京东称，在没有拿到自媒体所报道的数据库前，无法给出更加具体的信息。
\! ?* s6 ^/ g0 ?. L5 RStruts2是什么？
+ D3 c+ P* `& g2 M3 V- @, NStruts是Apache基金会的一个开源项目，广泛应用于大型互联网企业、当局、金融机构等网站创建，并作为网站开辟的底层模板使用。 . q z3 e4 O: S0 N
Struts 2是Struts的下一代产物，是在Struts 和WebWork的技能底子上举行归并，形成的全新框架。 . G7 N1 O7 i" X; s0 O4 [" ?
2013年7月17日，Struts2曾出现高危弊端。包罗国内很多着名网站在内的大量网站，受到此弊端差别水平的影响。攻击者可以使用该弊端实验恶意java代码，终极导致网站数据被偷取、网页被篡改等严峻效果，使网站及网民安全受到了极大的威胁。
8 N/ t. ~& t4 o' ]7 d" V S. l国内一家大型互联网企业的技能开辟职员对腾讯财经表现，Struts是基于Java语言的一款开源框架，雷同基于PHP语言的Yii和Laravel。
9 G9 v, h& k- y" h+ D$ k“前人在使用底子语言举行操纵时发现了共性，便将底子性的内容提取，于是就有了框架。而开源框架指的是，不但给你框架，还将这个框架的搭建方法，以及源码一并给你。”上述开辟职员对腾讯财经表现，在此底子上，任何人都可以根据须要更改框架，乃至还可以在此过程中发现框架的不敷与弊端。
0 a+ b5 e% s% s( Z, w该人士提到，Java语言的开辟服从低于PHP，但是运行速率优于后者，相对来说更得当项目较大的体系。国内的电商平台一样平常都使用 Java语言, 比方淘宝、京东。 1 c- A$ W+ Z$ J4 b8 q7 Q$ b* c3 F
腾讯财经从蚂蚁金服一位负责开辟的人士处相识到，固然蚂蚁金服方面以及阿里巴巴团体业务团队的开辟语言根本以JAVA为主，但很早就不再使用Struts框架。缘故因由紧张是Struts框架自己存在安全弊端，前后端分离，且该技能早就过期。 4 m: r! U( ^+ W4 n$ ~
上述人士对腾讯财经表现，现在Java开辟主流的框架是spring mvc，包罗各家在spring的底子上自己研发的定制框架。
$ w* b, ?" \3 y# @3 Q8 }- R6 W风险安在？ . l* [! {: F: ~. e% ^
针对“框架风险对于体系安全性威胁”的话题，一家上市互联网企业的步调开辟职员对腾讯财经表现：“框架就像是一个柜子，外貌已经在那里了，怎么隔层，放哪些东西都是由你自己决定。隔层、放置的东西都是小标题，但是若框架出现标题，那影响就是根天性的了。”
} w% h& Q8 A+ ~他提到，雷同Struts2在2013年出现的高危弊端，假如框架自身安全性存在标题，体系就极轻易被攻击，以是有财力、本事的人通常都自造框架。 ; k$ P7 G/ E; r3 w0 h
“但是很多步调员面临的标题是，公司要求快速迭代，产物来日诰日要上线，你本日还要写框架，费时费力，索性就直接借助开源框架。”他说。 g* d: ?: T% ~; C; e& f# k
据其先容，Struts 2官方早先曾就框架大概存在的安全弊端举行了声明。开辟职员在运用该框架编写代码时，须要举行须要的安全处置惩罚。
7 c- K' R( b1 y9 s3 e
$ I2 }0 J6 U, Z" f2 E: q/ d0 [" M; H- G- s4 p2 \+ l
Struts2官方提示安全弊端 & T' f% ?, S/ f" m' w. ?9 i
比方，当出现弊端是，Struts会提示用户升级，但若临时无法升级，体系会发布最高安全品级为“紧张”或是“极其紧张”不等的提示，并会附上相应的管理步调。 ( ?5 B, Y1 H+ A4 e
$ |$ }& T0 j* `; ?# k+ h( L0 `9 R
: G$ m; V$ n% T最高安全品级为紧张 6 K1 s. {& d& `6 O3 u
" n3 L8 G4 R- ~
; n8 A( _; W: G5 Q5 }- C: }相应的管理步调
& g% c1 |/ ]9 W% e* ?% c
) `& |9 a" q2 p
. }' K4 S% s9 s; m7 ^
! ^7 k3 D6 Z4 h F0 b( J! i: ^% [- Z( E/ m
全部Struts2开辟职员必读，最高安全品级为“极为紧张”的安全提示 + S# |* L9 a) e; ]% i
“这就像是已经告诉你，冬天很轻易感冒，要多穿点衣服。但假如你还是少穿衣服，没有应用这个安全处置惩罚步调，那感冒就怪不了别人了。”上述开辟职员说。
2 o! ^- z0 @; y据相识此前2013年7月，Struts 2 曾存在2个高危弊端，这些弊端可使黑客取得网站服务器的“最高权限”，从而使企业服务器变成黑客手中的“肉鸡”。据媒体报道，其时有7成大型互联网公司及当局构造受到该弊端影响。
, B" c+ w& E. P金融银行类网站此前是重灾区 5 y/ v) z% X; C/ l2 w+ d; Y% c0 x6 h
对于现在Struts框架的应用状态，前文所述蚂蚁金服方面开辟人士对腾讯财经表现，现在仍使用Struts的公司不在少数，此中大多数都由于技能惰性，不乐意改进原来可用的技能方案。
3 v! {: w# l5 @: _5 x* ~0 z“Struts在早期是Java后端开辟很成熟的管理方案，被大量接纳，厥后一连发作了不少标题和弊端，但是企业要重新更换团体框架，不管是在技能层面，还是运营层面，都有不少阻力。”他说。 ( s# x3 c- |, i1 J% E
据乌云平台弊端陈诉，2013年Struts2出现高危弊端之后，淘宝、京东等大型互联网厂商均受此影响，而且弊端使用代码已经被强化，可直接通过欣赏器的提交对服务器举行恣意操纵并获取敏感内容。 1 ^& u4 u$ n$ Y) W7 U8 B
同时Struts弊端影响巨大，受影响站点以电商、银行、流派、当局居多。此中，金融银行类网站更是成为此次弊端的重灾区。
1 {- B- K% `# R' ?- o" y1 b1 t对此上述人士以为，在Struts框架曝出大量弊端，渐渐被新技能代替后，仍有不少银行机构由于技能反应较慢相沿此技能。“早期的网银优盾等本事，都是通过设置更多的人为停滞来减小安全风险。银行之外，像京东如许让用户修改暗码，实在不能克制用户信息泄漏，只能说是增强对于暗码的掩护。”
2 M& P/ J5 L- Q F9 O# G- {1 U/ y据“一本财经”此前援引业内人士说法，京东此次泄漏的数据已被贩卖多次，“至少有上百个黑产者手里把握了数据”。
7 R* L! O; g! \ u6 s/ t8 s$ [一位互联网企业旗下电商平台的技能职员对腾讯财经表现，已传播出去的信息，或存在着撬动其他数据的大概性。这是由于黑产者可借此举行进一步的“撞库”操纵。 7 z: d$ W" l8 y3 }1 U
撞库是指，黑客通过网络互联网已泄漏的用户和暗码信息，天生对应的字典表，实验批量登岸其他网站后，得到一系列可以登录的用户信息。 ) T& l2 p# O$ y7 r0 d6 @! j9 O" p
据其先容，一样平常情况下体系在数据库中存储用户暗码时，并非存储暗码原文，而是存储经MD5、Sha1等加密处置惩罚之后的数据。若获取了暗码的加密串，则可通过反编译的情势获取暗码的原文。
$ P# H8 T) R0 X5 g' N“颠末加密处置惩罚后，破解暗码通常须要较长时间。但是若暗码已经在数据库中被解密，相较于新暗码，黑客通常可以瞬间就破解掉。”该人士说。
5 z/ [/ ~/ m5 @7 M据相识。很多用户在差别网站使用的是雷同的帐号暗码，因此黑客可以通过获取用户在A网站的账户，从而实验登录B网址。 | 
|手机版|Archiver|
( 桂ICP备12001440号-3 )|网站地图
发表于 2019-6-13 00:52:34
