|
针对网传的京东12G用户数据泄漏变乱，12月11日，京东方面临腾讯财经独家回应称，该数据源于此前2013年Struts 2的安全弊端，现在京东另有“极个别”体系使用Struts2框架，但已颠末妥善升级，“暂不会出现安全标题”。 $ [! J8 G: k5 o
12月11日，自媒体“一本财经”报道称，一个京东的12G 数据包近期在暗盘上流通，此中包罗用户名、暗码、邮箱、QQ号、电话号码、身份证等多个维度，数据多达数千万条。随后也有京东用户反映，自己的京东白条近期被盗刷。
7 V. N- i. G/ d" Z5 [京东对此回应称，经信息安全部门开端判定，该数据源于此前“2013年Struts 2的安全弊端标题”，并表现，其时国内险些全部互联网公司及大量银行、当局机构都受到了影响，导致大量数据泄漏。 % ?# s8 g6 Z2 w/ \* h
12月11日，京东方面临腾讯财经表现，在Struts 2的安全标题发生后，京东就完成了体系修复，并分析出大概受到安全威胁的用户账户，升级安全体系，同时提示风险用户升级安全步调。现在京东仍有少数体系应用此框架，但使用范围紧张在公司内部。
* V5 m8 O, p* H7 O) U. O) W+ O但对于为何2013年的体系弊端，在近期被发现有用户信息被泄漏的情况，京东方面并未正面回应。京东称，在没有拿到自媒体所报道的数据库前，无法给出更加具体的信息。 1 s" S* K5 M3 @+ W; B: G
Struts2是什么？ / ?% A' r& o6 j4 {
Struts是Apache基金会的一个开源项目，广泛应用于大型互联网企业、当局、金融机构等网站创建，并作为网站开辟的底层模板使用。
M# X; }5 Q2 i( P- Y: pStruts 2是Struts的下一代产物，是在Struts 和WebWork的技能底子上举行归并，形成的全新框架。 " ~' c1 r5 {0 q5 T6 b! r
2013年7月17日，Struts2曾出现高危弊端。包罗国内很多着名网站在内的大量网站，受到此弊端差别水平的影响。攻击者可以使用该弊端实验恶意java代码，终极导致网站数据被偷取、网页被篡改等严峻效果，使网站及网民安全受到了极大的威胁。 + G' V% n; e# {5 \6 w5 A, X
国内一家大型互联网企业的技能开辟职员对腾讯财经表现，Struts是基于Java语言的一款开源框架，雷同基于PHP语言的Yii和Laravel。 7 z; E1 {' \ k! H
“前人在使用底子语言举行操纵时发现了共性，便将底子性的内容提取，于是就有了框架。而开源框架指的是，不但给你框架，还将这个框架的搭建方法，以及源码一并给你。”上述开辟职员对腾讯财经表现，在此底子上，任何人都可以根据须要更改框架，乃至还可以在此过程中发现框架的不敷与弊端。
/ `1 N U' j5 {7 @ t x该人士提到，Java语言的开辟服从低于PHP，但是运行速率优于后者，相对来说更得当项目较大的体系。国内的电商平台一样平常都使用 Java语言, 比方淘宝、京东。 / _+ U1 _: S9 T# f
腾讯财经从蚂蚁金服一位负责开辟的人士处相识到，固然蚂蚁金服方面以及阿里巴巴团体业务团队的开辟语言根本以JAVA为主，但很早就不再使用Struts框架。缘故因由紧张是Struts框架自己存在安全弊端，前后端分离，且该技能早就过期。 / l& }; D/ `) I2 A, w9 d
上述人士对腾讯财经表现，现在Java开辟主流的框架是spring mvc，包罗各家在spring的底子上自己研发的定制框架。
5 ^6 l, x6 B3 Q% ]风险安在？ , p* E. e( q/ X$ E8 U4 R) N0 j
针对“框架风险对于体系安全性威胁”的话题，一家上市互联网企业的步调开辟职员对腾讯财经表现：“框架就像是一个柜子，外貌已经在那里了，怎么隔层，放哪些东西都是由你自己决定。隔层、放置的东西都是小标题，但是若框架出现标题，那影响就是根天性的了。”
/ d. G* u1 Q+ B) W他提到，雷同Struts2在2013年出现的高危弊端，假如框架自身安全性存在标题，体系就极轻易被攻击，以是有财力、本事的人通常都自造框架。 / C7 j) u& f% [ m/ `) q
“但是很多步调员面临的标题是，公司要求快速迭代，产物来日诰日要上线，你本日还要写框架，费时费力，索性就直接借助开源框架。”他说。 : {/ v1 ?' T }6 t* C; q. ~, J! P
据其先容，Struts 2官方早先曾就框架大概存在的安全弊端举行了声明。开辟职员在运用该框架编写代码时，须要举行须要的安全处置惩罚。 $ T# Q0 X$ \% l: B2 a5 m- d: o
) A6 i9 x& l3 C) k7 k
$ X+ [/ V9 Y+ W9 r& n5 V) sStruts2官方提示安全弊端 {; x' _ v& X0 t8 v. d
比方，当出现弊端是，Struts会提示用户升级，但若临时无法升级，体系会发布最高安全品级为“紧张”或是“极其紧张”不等的提示，并会附上相应的管理步调。 3 Q3 ` R" x; Y
* T5 ?9 g: x$ v$ R: K
) P6 V9 C2 A. H6 k, h, F8 G. f; X最高安全品级为紧张
3 c) Z* F+ l4 T& c; u, P3 r# K% U6 v) N h
" q& t; O: i( S# O相应的管理步调
+ o8 q. i0 z0 h# A: W
: b( Q1 N, t# s+ S- j
& a8 y( ?6 g0 F+ { ^' ^& `9 L4 z; r; D' E
2 P: P2 |% [7 S' O! f/ f
全部Struts2开辟职员必读，最高安全品级为“极为紧张”的安全提示 3 }4 w2 K/ p* c9 p! t
“这就像是已经告诉你，冬天很轻易感冒，要多穿点衣服。但假如你还是少穿衣服，没有应用这个安全处置惩罚步调，那感冒就怪不了别人了。”上述开辟职员说。 6 V3 ?" ~3 n, q' J+ y0 i
据相识此前2013年7月，Struts 2 曾存在2个高危弊端，这些弊端可使黑客取得网站服务器的“最高权限”，从而使企业服务器变成黑客手中的“肉鸡”。据媒体报道，其时有7成大型互联网公司及当局构造受到该弊端影响。 ) i' \4 g: _% w8 N4 }
金融银行类网站此前是重灾区
- \/ m( ^8 k2 @5 p. L" J对于现在Struts框架的应用状态，前文所述蚂蚁金服方面开辟人士对腾讯财经表现，现在仍使用Struts的公司不在少数，此中大多数都由于技能惰性，不乐意改进原来可用的技能方案。
W; O2 {8 D4 J2 y. X+ ?% @“Struts在早期是Java后端开辟很成熟的管理方案，被大量接纳，厥后一连发作了不少标题和弊端，但是企业要重新更换团体框架，不管是在技能层面，还是运营层面，都有不少阻力。”他说。
/ d6 A' @/ D$ D1 I: u据乌云平台弊端陈诉，2013年Struts2出现高危弊端之后，淘宝、京东等大型互联网厂商均受此影响，而且弊端使用代码已经被强化，可直接通过欣赏器的提交对服务器举行恣意操纵并获取敏感内容。
+ k/ W0 n! W7 [( B同时Struts弊端影响巨大，受影响站点以电商、银行、流派、当局居多。此中，金融银行类网站更是成为此次弊端的重灾区。 6 G( T7 B* z9 ~8 c+ l) g2 M
对此上述人士以为，在Struts框架曝出大量弊端，渐渐被新技能代替后，仍有不少银行机构由于技能反应较慢相沿此技能。“早期的网银优盾等本事，都是通过设置更多的人为停滞来减小安全风险。银行之外，像京东如许让用户修改暗码，实在不能克制用户信息泄漏，只能说是增强对于暗码的掩护。”
$ }' v5 h: f5 Y# f# Y) X据“一本财经”此前援引业内人士说法，京东此次泄漏的数据已被贩卖多次，“至少有上百个黑产者手里把握了数据”。
# Z$ P2 P& O1 L一位互联网企业旗下电商平台的技能职员对腾讯财经表现，已传播出去的信息，或存在着撬动其他数据的大概性。这是由于黑产者可借此举行进一步的“撞库”操纵。 9 ^1 ^. ]/ n: x& {
撞库是指，黑客通过网络互联网已泄漏的用户和暗码信息，天生对应的字典表，实验批量登岸其他网站后，得到一系列可以登录的用户信息。
" G; \) I- @) K' `. F据其先容，一样平常情况下体系在数据库中存储用户暗码时，并非存储暗码原文，而是存储经MD5、Sha1等加密处置惩罚之后的数据。若获取了暗码的加密串，则可通过反编译的情势获取暗码的原文。 - v: Z% a8 C5 }$ S
“颠末加密处置惩罚后，破解暗码通常须要较长时间。但是若暗码已经在数据库中被解密，相较于新暗码，黑客通常可以瞬间就破解掉。”该人士说。
% [+ j% {" N, e! ^6 ^* Q; |; G) {据相识。很多用户在差别网站使用的是雷同的帐号暗码，因此黑客可以通过获取用户在A网站的账户，从而实验登录B网址。 | 
|手机版|Archiver|
( 桂ICP备12001440号-3 )|网站地图
发表于 2019-6-13 00:52:34
