网络安全事件分析之CSDN泄密门事件_网络安全事件案例分析
网络安全事件分析之CSDN泄密门事件由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“网络安全事件案例分析”。
CSDN数据库被黑 600万用户资料被公布在互联网上
事件内容：
2011年12月，CSDN的安全系统遭到黑客攻击，600万用户的登录名、密码及邮箱遭到泄漏。经排查，金山毒霸员工疑为隐私泄露源头，金山深陷“泄密门”。随后，CSDN“密码外泄门”持续发酵，天涯、世纪佳缘等网站相继被曝用户数据遭泄密。天涯网于12月25日发布致歉信，称天涯4000万用户隐私遭到黑客泄露。
CSDN泄密原理剖析与破解攻略
有专家认为从报道中提供的账号密码截图和已经获得的数据库密码表来看，可以断定是网站存在SQL注入漏洞，导致黑客可以很顺利的利用黑客工具进行攻击，从而获得数据库的访问权限以及有可能获得主机的控制权限，更有可能利用这种漏洞攻击关联的认证系统，如邮件、网银、电子货币等等。尽管与明文保护密码相关，但是CSDN泄密事件的根源还在于SQL注入漏洞。
什么是SQL注入漏洞？
SQL注入漏洞是已经盛行很久的黑客攻击行为，黑客通过网站程序源码中的漏洞进行SQL注入攻击，渗透获得数据库的访问权限，获得账号及密码只是其中最基础的一个内容。这种漏洞还会导致主机权限的丢失，关联认证系统的窃取等。” 目前，SQL注入漏洞广泛存在于互联网和私有网络当中，主要的问题是程序员疏漏造成的结果。虽然目前有很多开发框架能约束程序员的开发行为，但开发者如果执意减少代码，还是很容易造成安全性问题的存在。
在先进的开发过程中，对源代码编译和发布以后，除了功能和性能测试外，CSO们应该通过权威的安全审计工具对网站系统进行安全性测试，检查是否存在SQL注入、跨站脚本和远程恶意程序执行的漏洞。如果存在漏洞，很多时候CSO是有权否决系统上线，防止安全事件的产生。不过这种黑盒审计费时费力，还容易遗漏，不但耽误业务系统上线，同时会引申出来。
但是，本次泄密事件中明确的发现CSDN的网站在上线系统是欠缺这种检测。其中账号密码一部分存在dearbook的字样，显然是对接系统的认证中心被攻破，这部分漏洞如果还不进行修复，即使用户更改密码，仍然会被黑客再次攻击获得用户密码。
人类使用密码的思维其实很简单和固定，大部分人会使用一种特殊规则的密码，这种密码很难猜测，但是黑客通过SQL注入的漏洞进行攻击时，却不受这些制约。黑客的这种攻击行为其实是利用了SQL注入的漏洞，获得数据库的访问权限。黑客通过这种权限，就像是开发者一样，向数据库提交查询语句，一步步的获得数据库中的用户账号及密码。
SQL注入漏洞攻击路线图
黑客们在攻击数据库时，有着一些必经的路线图，SQL注入漏洞攻击就好似在问数据库问题：
1、你的名字是什么?
2、你有什么表格?
3、表格中有什么列?
4、某列的第1行长度是多少?
5、第1位是不是a?b?c?d?„„z?
6、第2位是不是a?b?c?d?„„z?
7、第N位是不是a?b?c?d?„„z?
8、如果拿到账号及密码则到公共网络进行密文的破解，如果是明文则直接使用。
9、登录认证系统，使用获取到的账号密码权限去申请资源或欺骗基于信息系统的信任成员。
SQL注入漏洞带来的警示
1、网站和云计算服务商的安全急需依据标准构建
网站、云计算应当仔细的保护好自己的数据库系统，防止黑客从合法协议、端口和授权中获得非授权内容。国际上很早就对信息安全有了明确的安全标准，如著名的ISO17799、ISO27001以及OWASP等。在物联网、云计算、私有网行业盛行的今天，信息安全的问题尤为重要。如果由信息系统控制的生产系统受到黑客的攻击、破坏或篡改，会造成社会不安定不和谐的因素。并且很多攻击，从SQL注入入手，还会延伸到发生病毒、垃圾邮件、钓鱼网站和欺骗等等问题。
2、防火墙的无力
防火墙技术主要是解决开放端口，只对通讯协议是否可以使用起作用，而不去管理协议中的内容是否有杂质，就防堤坝一样，指定端口的数据通过时，是否存在泥沙并不进行处理。
SQL注入攻击的防御就像在合法端口中建立起来详细的安全审核制度，防止那些不规范的代码被黑客利用。这种防御就如同在堤坝通过的流量中加入了更细的过滤网，把威胁从中过滤。
本次“密码门”事件主要问题就出在服务器端，而非防火墙。
总结
但凡因漏洞而导致的问题，通常都伴随着对一些问题的疏忽，或者是技术的疏忽，或者是管理上的疏忽，简言之就是自己出问题了。因此，战略上藐视而战术上必须重视这些问题，否则正所谓防不胜防，而最致命、最难防的还是自己的疏忽。没有无漏洞的系统，也没有无漏洞的网络，天下无贼只是一种理想的境界，因此时时将信息安全放于心中，放到实际行动当中，找寻到最佳的解决方案才可能将危险降到最低，甚至杜绝这种危险。
最后，虽然此次事件的责任不在广大用户，但是，也是给我们广大用户提了一个醒：互联网是不安全的，不要认为自己有密码就可以高枕无忧。自己在设置密码的时候一定要设置强有力的密码，不要设置简单的很容易被别人破解的密码。同时，我们每个人在互联网上可能会有多的账号，每个账号要有密码，不要图省事就所有账号用一个密码，一旦一个密码被别人识破，所有账号都会不安全了。
