|
针对网传的京东12G用户数据泄漏变乱，12月11日，京东方面临腾讯财经独家回应称，该数据源于此前2013年Struts 2的安全弊端，现在京东另有“极个别”体系使用Struts2框架，但已颠末妥善升级，“暂不会出现安全标题”。 " o5 p& m( M- q/ } ?% c* v4 o" D
12月11日，自媒体“一本财经”报道称，一个京东的12G 数据包近期在暗盘上流通，此中包罗用户名、暗码、邮箱、QQ号、电话号码、身份证等多个维度，数据多达数千万条。随后也有京东用户反映，自己的京东白条近期被盗刷。
1 a2 U# q8 l, [6 ?京东对此回应称，经信息安全部门开端判定，该数据源于此前“2013年Struts 2的安全弊端标题”，并表现，其时国内险些全部互联网公司及大量银行、当局机构都受到了影响，导致大量数据泄漏。 9 C, ]8 H. s; ~2 l, M
12月11日，京东方面临腾讯财经表现，在Struts 2的安全标题发生后，京东就完成了体系修复，并分析出大概受到安全威胁的用户账户，升级安全体系，同时提示风险用户升级安全步调。现在京东仍有少数体系应用此框架，但使用范围紧张在公司内部。 ^2 E; t5 _7 g% R
但对于为何2013年的体系弊端，在近期被发现有用户信息被泄漏的情况，京东方面并未正面回应。京东称，在没有拿到自媒体所报道的数据库前，无法给出更加具体的信息。 3 X5 s8 m8 w6 E* P2 s$ M
Struts2是什么？ ; s6 @' P. _+ ]0 t8 x. r
Struts是Apache基金会的一个开源项目，广泛应用于大型互联网企业、当局、金融机构等网站创建，并作为网站开辟的底层模板使用。 " ~, r3 ]4 G, y! c8 }, z! q' r) Q
Struts 2是Struts的下一代产物，是在Struts 和WebWork的技能底子上举行归并，形成的全新框架。
+ Y, P6 D$ G; B1 n) t& d2013年7月17日，Struts2曾出现高危弊端。包罗国内很多着名网站在内的大量网站，受到此弊端差别水平的影响。攻击者可以使用该弊端实验恶意java代码，终极导致网站数据被偷取、网页被篡改等严峻效果，使网站及网民安全受到了极大的威胁。
- w9 n' M6 s% ^国内一家大型互联网企业的技能开辟职员对腾讯财经表现，Struts是基于Java语言的一款开源框架，雷同基于PHP语言的Yii和Laravel。 # e% ~$ _, V" ~; ]" U& i8 }, y
“前人在使用底子语言举行操纵时发现了共性，便将底子性的内容提取，于是就有了框架。而开源框架指的是，不但给你框架，还将这个框架的搭建方法，以及源码一并给你。”上述开辟职员对腾讯财经表现，在此底子上，任何人都可以根据须要更改框架，乃至还可以在此过程中发现框架的不敷与弊端。
6 m+ z9 {) I# v F; p+ S! B该人士提到，Java语言的开辟服从低于PHP，但是运行速率优于后者，相对来说更得当项目较大的体系。国内的电商平台一样平常都使用 Java语言, 比方淘宝、京东。
3 @: ^8 k! @2 N4 g4 M7 N* {; y. ?腾讯财经从蚂蚁金服一位负责开辟的人士处相识到，固然蚂蚁金服方面以及阿里巴巴团体业务团队的开辟语言根本以JAVA为主，但很早就不再使用Struts框架。缘故因由紧张是Struts框架自己存在安全弊端，前后端分离，且该技能早就过期。 7 Y4 N. x% E! N0 A3 C
上述人士对腾讯财经表现，现在Java开辟主流的框架是spring mvc，包罗各家在spring的底子上自己研发的定制框架。
' a: ?( o) e& x1 [# `: n$ g- r风险安在？ 1 i% B; ?1 K( M6 N$ ?0 Y
针对“框架风险对于体系安全性威胁”的话题，一家上市互联网企业的步调开辟职员对腾讯财经表现：“框架就像是一个柜子，外貌已经在那里了，怎么隔层，放哪些东西都是由你自己决定。隔层、放置的东西都是小标题，但是若框架出现标题，那影响就是根天性的了。”
7 m1 T, { A7 S7 N$ z7 Q他提到，雷同Struts2在2013年出现的高危弊端，假如框架自身安全性存在标题，体系就极轻易被攻击，以是有财力、本事的人通常都自造框架。 + g6 e9 B7 ?8 |: {1 Q
“但是很多步调员面临的标题是，公司要求快速迭代，产物来日诰日要上线，你本日还要写框架，费时费力，索性就直接借助开源框架。”他说。
6 e. Y! F I1 m1 t# |+ H1 M* {) I( M据其先容，Struts 2官方早先曾就框架大概存在的安全弊端举行了声明。开辟职员在运用该框架编写代码时，须要举行须要的安全处置惩罚。 ! i+ p# \3 O& Y. ~! i/ t
( B6 S) t; S- w* W
J6 W2 i {+ {6 G
Struts2官方提示安全弊端 % r( C* n) ^& c0 B
比方，当出现弊端是，Struts会提示用户升级，但若临时无法升级，体系会发布最高安全品级为“紧张”或是“极其紧张”不等的提示，并会附上相应的管理步调。 / M# u4 _, p& M
& P! X4 S6 T1 e' s3 M3 |" U1 D
1 q3 D: f- \$ q$ M7 X3 S: |7 l
最高安全品级为紧张 ! U% l$ F$ O7 s
1 U" f; i- t' t
3 R, O/ s$ M. @3 v' Q相应的管理步调
8 F5 Z7 N2 C$ l9 Y- \ P O5 U {
! w" J W7 E- a: a3 A! J/ E7 B
0 D$ ]9 T; q. r( K1 |- i `
, X' e6 {! a( c/ s' `: o# q全部Struts2开辟职员必读，最高安全品级为“极为紧张”的安全提示
6 ]: ~# e- o4 j* D# F7 M/ y+ v. J: N“这就像是已经告诉你，冬天很轻易感冒，要多穿点衣服。但假如你还是少穿衣服，没有应用这个安全处置惩罚步调，那感冒就怪不了别人了。”上述开辟职员说。
* f, M) m" z9 I; M4 f0 Z$ |3 e据相识此前2013年7月，Struts 2 曾存在2个高危弊端，这些弊端可使黑客取得网站服务器的“最高权限”，从而使企业服务器变成黑客手中的“肉鸡”。据媒体报道，其时有7成大型互联网公司及当局构造受到该弊端影响。 - Z) G# D7 b* {3 W) e' m) v
金融银行类网站此前是重灾区 $ a! k7 m3 O5 G& k3 l6 l. F
对于现在Struts框架的应用状态，前文所述蚂蚁金服方面开辟人士对腾讯财经表现，现在仍使用Struts的公司不在少数，此中大多数都由于技能惰性，不乐意改进原来可用的技能方案。
# i7 i, \3 \0 r& @" F+ Q: u“Struts在早期是Java后端开辟很成熟的管理方案，被大量接纳，厥后一连发作了不少标题和弊端，但是企业要重新更换团体框架，不管是在技能层面，还是运营层面，都有不少阻力。”他说。 4 `& E' M) f5 A, A) u, N
据乌云平台弊端陈诉，2013年Struts2出现高危弊端之后，淘宝、京东等大型互联网厂商均受此影响，而且弊端使用代码已经被强化，可直接通过欣赏器的提交对服务器举行恣意操纵并获取敏感内容。 - F C5 O# Q+ T
同时Struts弊端影响巨大，受影响站点以电商、银行、流派、当局居多。此中，金融银行类网站更是成为此次弊端的重灾区。
& l+ S( Z) j7 S对此上述人士以为，在Struts框架曝出大量弊端，渐渐被新技能代替后，仍有不少银行机构由于技能反应较慢相沿此技能。“早期的网银优盾等本事，都是通过设置更多的人为停滞来减小安全风险。银行之外，像京东如许让用户修改暗码，实在不能克制用户信息泄漏，只能说是增强对于暗码的掩护。”
5 Q3 r9 q% N8 w7 M t; c$ P- @据“一本财经”此前援引业内人士说法，京东此次泄漏的数据已被贩卖多次，“至少有上百个黑产者手里把握了数据”。 : T# T$ x" c5 _- d6 u( d
一位互联网企业旗下电商平台的技能职员对腾讯财经表现，已传播出去的信息，或存在着撬动其他数据的大概性。这是由于黑产者可借此举行进一步的“撞库”操纵。 * }2 o% ^! w0 X# e- ?8 G7 f
撞库是指，黑客通过网络互联网已泄漏的用户和暗码信息，天生对应的字典表，实验批量登岸其他网站后，得到一系列可以登录的用户信息。
' F; c. j- `6 c; F1 [3 i9 K据其先容，一样平常情况下体系在数据库中存储用户暗码时，并非存储暗码原文，而是存储经MD5、Sha1等加密处置惩罚之后的数据。若获取了暗码的加密串，则可通过反编译的情势获取暗码的原文。 5 ]4 z' P$ C$ R5 o9 J; N$ ?1 S
“颠末加密处置惩罚后，破解暗码通常须要较长时间。但是若暗码已经在数据库中被解密，相较于新暗码，黑客通常可以瞬间就破解掉。”该人士说。
D5 U: C' I3 ~据相识。很多用户在差别网站使用的是雷同的帐号暗码，因此黑客可以通过获取用户在A网站的账户，从而实验登录B网址。 | 
|手机版|Archiver|
( 桂ICP备12001440号-3 )|网站地图
发表于 2019-6-13 00:52:34
