12月21日上午，CSDN網站部分用戶數據被在網絡公開。事件發生后，CSDN立即進行了應急處理，在第一時間向用戶致歉，提醒可能存在安全隱患的用戶及時做帳號信息修改。

此后陸續幾天，天涯、人人、當當、凡客、卓越、開心、多玩等多家網站，相繼被曝出密碼遭網上公開泄露。目前網上公開暴露的網絡賬戶密碼已超1億個。

用戶數據作為網站所有者的信息資產，涉及到網站及關聯信息系統的實質業務，對其保密性的要求強度不言而喻。為此，安恒信息已于近日對多家受到攻擊的網站提供網站安全檢測并為其提供解決方案。安恒信息的專家將從信息安全防御的角度，就Web應用的數據庫的防泄密策略提出解決建議，以杜絕類似的數據庫泄露事件再次發生。

數據庫為什么成為目標

攻擊者為什么會冒著巨大的法律風險去獲取數據庫信息？

2001年，隨著網絡游戲的興起，虛擬物品和虛擬貨幣的價值逐步被人們認可，網絡上出現了多種途徑可以將虛擬財產轉化成現實貨幣，針對游戲帳號攻擊的逐步興起，并發展成龐大的虛擬資產交易市場。

2004～2007年，相對于通過木馬傳播方式獲得的用戶數據，攻擊者采用入侵目標信息系統獲得數據庫所獲得的信息其針對性與攻擊效率都有顯著提高。在巨額利益驅動下，網絡游戲服務端成為黑客“拖庫”的主要目標。

2008～2009年，國內信息安全立法和追蹤手段得到完善，攻擊者針對中國境內網絡游戲的攻擊日趨收斂。與此同時，殘余攻擊者的操作手法愈加精細和隱蔽，攻擊目標也隨著電子交易系統的發展擴散至的電子商務、彩票和境外賭博等主題網站，并通過黑色產業鏈將權限或數據轉換成為現實貨幣。招商加盟類網站也由于其本身數據的商業業務價值，成為攻擊者的“拖庫”的目標。

2010年，攻防雙方經歷了多年的博弈，國內網站安全運維水平不斷提升，信息安全防御產品的成熟度加強，單純從技術角度對目標系統進行滲透攻擊的難度加大，而通過收集分析管理員、用戶信息等一系列被稱做“社會工程學”的手段的攻擊效果被廣大攻擊者認可。獲得更多的用戶信息數據有利于提高攻擊的實際效率，攻擊者將目標指向了擁有大量注冊用戶真實詳細信息的社區及社交網站，并在地下建立起“人肉搜索庫”，預期實現：獲知某用戶常用ID或Email，可以直接搜索出其常用密碼或常用密碼密文。

2011年12月21日，僅僅是在這一天，攻擊者曾經獲取到的部分數據庫被陸續公開了。

數據庫是如何被獲取的

攻防回合的延續使入侵網游服務端主機系統難度加大，而Web應用的登錄入口表明了Web應用程序與用戶數據表之間存在關聯，通過入侵Web網站獲得數據庫信息成為針對網站數據庫攻擊的主要入手點，常見的攻擊步驟如下：

1.尋找目標網站（或同臺服務器的其他網站）程序中存在的SQL注入、非法上傳或者后臺管理權限等漏洞；

2.通過上述漏洞添加一個以網頁腳本方式控制網站服務器的后門，即：WebShell；

3.通過已獲得的WebShell提升權限，獲得對Web應用服務器主機操作系統的控制權，并通過查看網站數據庫鏈接文件，或得數據庫的鏈接密碼；

4.通過在Web應用服務器上鏡像數據庫連接，將目標數據庫中所需要的信息導入至攻擊者本地數據庫（或直接下載服務器上可能存在的數據庫備份文件）；

5.清理服務器日志，設置長期后門。

目前攻擊者以團隊為單位，無論從工具的制造、攻擊實施的具體手法都已經形成了體系化的作業流程。從安恒支持的全國網站安全大檢查數據分析中，可以知道全國70%的網站存在安全問題，這些網站也將均有可能成為下一個數據信息泄露的潛在安全隱患群體。

以下是幾點防御策略：

技術方面，根據具體信息系統的實際情況適當采用對應的安全工具或設備，如Web應用弱點掃描器、數據庫弱點掃描器、Web應用防火墻、數據庫審計系統等；并通過人工手段，對系統進行多種方式的脆弱性評估和加固工作，如：滲透測試、代碼審計等。

管理方面，加強對Web應用和數據庫對應的組織人員、開發規范、運維策略和安全培訓等的建設，在單業務系統的范圍內，達到體系完善。如對數據庫用戶權限和備份文件加強管理，針對于某些攻擊手段的防御效果可能高于產品部署而大幅降低成本。

反思

大型互聯網公司，不可能沒有安全機制，什么硬件防火墻、軟件防火墻、殺毒軟件、主動防御、漏洞掃描和動態補丁補個不完、自動更新更個沒完，等等……，現在能夠使用的渾身解數幾乎統統用上。

可是為何還會中招？

這是因為目前的安全體系思維過于陳舊，基本上都是從DOS時代傳承下來的安全思維，基本上都是哪出問題補哪的安全方式。說句不好聽的話，基本上都是“事后諸葛亮”、“馬后炮”。即使是什么“主動防御”，也沒什么突破性思維。

密碼泄露了，就研究讓密碼加個密，以為那樣即使密碼丟了對黑客也不會有什么用，以為黑客即使得到密碼也無法破解。事實上，網上破密用的密碼字典很大，幾乎囊括所有可能的密碼方式，甚至不需動用暴力破解就可以把絕大部分密碼進行破解。

密碼數據庫泄露，就說明這個網站的核心服務器已經是別人可以隨意控制的“私人機器”了，人們總是心理安穩就滿足。當XP推出的時候就歡呼以后電腦就安全了，當Vista推出的時候也歡呼以后電腦就安全了，當Windows 7推出的時候也歡呼以后電腦就安全了，現在又翹首以盼，聽說當Win8推出以后電腦就安全了。或者，還有人認為可能Windows不安全，所以我們用Linux就安全了，微軟的系統可能不安全，我們改用蘋果的可能就安全了。事實上，無論使用哪個操作系統，只要你有重要信息數據，黑客照樣可以攻克。

有人認為針對黑客應該由政府立法來懲戒就可以解決問題，每一個國家的憲法都規定殺人是刑事問題，可是每天照樣有人被殺。所以依靠“權威”來震懾是沒有用的，何況技術的問題，傳統的立法體系根本就跟不上。讓擅長打人的警察在擅長敲鍵盤的技術領地里與黑客過招，后果可想而知。

由于CSDN是我的老朋友，我特意去聽了他們組織的一個小型封閉式的“安全研討會”，我聽到的還是哪些“修補性思維”，只聽到一個哥們談“為什么不能跳出補漏洞的辦法，漏洞補不完、那我們能不能就不補，我們為什么不能換一個方式、換一種思維來實現安全？”，這是令我耳目一新的“新思維”。

的確，現在的電腦安全需要“新思維”。番禺監控分析

打個比喻，來說明現有安全體系的思維。

假如電腦就是一個開放的菜市場，菜市場是小偷可以光顧，顧客也可以光顧的地方。那安全的問題就是防止小偷出現。現有的安全方法就是找出小偷，并給小偷貼一個標簽“我是小偷”，然后，一旦看到小偷來了，我們就派出城管把它一棍子打死。可是，小偷也是有思維的，小偷也需要保命，于是，小偷就不斷化妝、不斷更換衣服、不斷變臉，使得“我是小偷”的標簽失效，然后，小偷就可以在菜市場里自由行動。于是，我們就給小偷發很多標簽，以至于標簽堆積如山，標簽體積遠遠大過這個菜市場，這就是“殺毒的安全思維”。

既然，小偷經常變換身份，所以就想出來一個“新發明”，就是總結小偷經常的走動路線，把這條路線定義為危險路線，只要有人按照這條路線走，他就“可能是小偷”，于是我們就按響報警，不管什么人只要一走動就報警，以至于想要來買菜的人都提心吊膽，屢屢被警告是小偷，這就是“主動防御”的思維。

又有人，發現菜市場安裝防小偷門衛保安，那小偷就不能從正門進來，于是小偷就從墻頭翻進來、可以從狗洞鉆進來，于是，就發明了專門找出可以翻進來的墻頭、狗洞，并且把這些墻頭、狗洞堵住。可是菜市場太大了，天天找都能找出很多可以翻進來的墻頭，堵住了狗洞還有貓洞，堵住了貓洞還有老鼠洞，堵啊堵，就是堵不完。這就使“漏洞掃面”、“漏洞補丁”的思維。

有人認為這個菜市場太爛小偷太多，換一個新的菜市場就好了，不知道其實只要有菜市場必然有小偷，只是某一個菜市場離市中心太遠，市場不夠火，很多小偷懶得去而已。這就是以為“換個新操作系統”就安全了的思維。

總之，現在的安全思維不外乎如此，但是小偷到目前為止照樣在菜市場里轉悠，照樣行動自如。

單從大規模用戶帳戶數據庫泄露來看，黑客有幾種辦法，一種簡單的辦法就是通過正常的訪問請求就被系統當作普通數據傳出來。稍微復雜一點的就是注入辦法獲得網站管理員密碼，然后自由下載。再復雜一點的就是爆破攻擊，激發漏洞提升權限然后運行自己想要的工具，進而上傳自己專用工具，完全控制一臺服務器，然后以此為據點進一步控制其他機器，直到所有有用的核心服務器都在自己的掌控制下，慢慢再找出自己想要的東西，比如用戶數據庫，再把整個數據下載下來。

一臺服務器，只要安裝一些工具軟件，基本上都有10萬個文件，即使是剛安裝好的系統文件個數也都在2～3萬的數量級別，可執行的文件有1萬多。系統越來越龐大，提供的漏洞必然會越來越多。

目前隨便一個軟件就是幾百MB、上GB的大小，其中絕大部分是可執行的應用數量。所以漏洞多得無法計算。

現在的編譯工具添加了一些補救措施，比如安全SEH、禁用數據執行等等，只能說給黑客添加來一點麻煩而已。

黑客分為幾個層次，核心層次是尋找漏洞，這層次的黑客以攻克技術為樂，工具就是反匯編和Debug工具，有沒有源碼不重要。第二層次是利用漏洞制作工具。第三層次使用工具。

我國是第三層次為主，主要使用已經公布的漏洞或者第二層次中沒有公布的漏洞進行攻擊牟利。

在核心黑客圈子里通常互相分享他們自己最新發現的成果，一般核心層次的漏洞成果是不公開的，只有核心成員之間分享，但他們一般也不干什么壞事。在核心圈子里，他們擁有各種系統得秘密漏洞，微軟的也好、蘋果的也好、Linux的也好、甚至大型機的也好、Android的也好、iPhone的也好，都在他們小圈子里分享。

公布出來的基本上都屬于過時的漏洞而已。

目前，病毒都可以做到BIOS里的年代，安全已經不能夠再用“圍追堵截”的方法來實現了。

那么有沒有可以實現安全的東西呢？

有的，比如隔離系統。比如ATM取款機，在不破壞機器墻體的情況下，要想讓ATM取款機偷出錢來沒那么容易，一方面，因為ATM取款機使用的一般都不是Window系統，我看見有不少使用OS/2系統，并不是OS/2系統就沒有漏洞，而是因為它是隔離使用，使得OS/2并沒有其他連接，只有操作面板這一個I/O入口，如果ATM機也裝一個無線網絡的話，我相信不需要多久，這個ATM機就會成為免費提款機。

可見，一旦一個機器、一個系統暴露的I/O過多必然就會有大量的漏洞可以使用，它無法實現有效的安全，就如同一個圍墻體提供的安全體系，是無法與一個封閉體的碉堡那樣的安全。因為圍墻是可以從四面八方爬進來的，而封閉的碉堡卻只有一個入口，自然安全體系就會不一樣。

有人認為網銀安全，其實網銀安全相當的不安全。尤其是有USB的網銀。因為即使有了USB整個網銀的線路都是開放的，根本無法與ATM相比，USB只是保證了密碼的安全，并不保證電腦的安全，更不保證支付線路的安全。有人認為支付線路是使用SSL的，即使SSL可以安全，但從USB到SSL中間有廣闊的空間是不在安全范圍里的，今年3月份央視的《經濟信息連播》就報道過被穿改支付線路而錢款被盜一空的狀況。

如果我們能夠實現一個類似ATM機那樣的安全體系，那安全就會截然不同。這需要新的安全思維、新的安全體系。

現在已經不是DOS時代，而是四處互聯的網絡時代，繼續依賴DOS時代建立的安全思維，已經過時很久很久了。

安全問題為什么難，就在于安全問題的本質是人與人之間的斗智斗勇問題，如果在一個廣闊的舞臺上，人與人之間的斗智斗勇永遠不會有結果。

番禺監控專家覺得：安全是一種事業，不是一個解決方案。