北京工夫 6 月 13  日清晨，A 站发布公告称网站遭遇黑客攻击，近千万条用户数据外泄，雷锋网今早对此事情停止了报道（ 点这里 ）。

不过，在 A 站发布的公告中，雷锋网 (大众号：雷锋网) 还发现一些待讲究的细节，比方，公告中说走漏的是 A 站曾经加密存储的密码，那既然不是明文密码，走漏之后会被黑客破解吗？A站所说的更强的密码战略，究竟是什么？拖库的局部数据曾经能在 github 上看到，A站究竟是什么时分晓得用户的数据走漏的？摩拜真的被拖库了？已在暗网上售卖的网站 shell 和 内网权限终究会对用户和A站发生什么样的影响？

带着这些疑问，雷锋网编辑找到了晓得创宇云平安担任人西盟。

1.走漏的是曾经加密存储的密码，并不是明文，结果严重吗？

在公告中，AcFun 表示泄露的数据包括用户 ID、昵称以及加密存储的密码。

也就是说，黑客拿到的并不是你的明文密码，那这些加密存储的密码能否会被很快破解？

西盟通知雷锋网，普通而言，网站对密码的存储都是加密存储，真实密码是多少，A站也不晓得。

比方，你的密码是345678，但在 A 站中，能够是下图红框中的16位或32位的一串数字。

▲某MD5加密算法密码破解网站

只是，加密算法有容易破解的，也有难度较大绝对不容易破解的。目前市面上最罕见的加密算法是 MD5，由于运用的范围比拟广，所以也“成功”吸引了黑客的留意，目前，针对这类加密算法，曾经有很多在线的破解网站，而且破解的才能能够有点超出你的想象。

假如你的密码是六位以内的密码，而且你所登录的网站还用的是MD5的加密算法，那么，不必疑心，只需这家网站被黑客盯上，你的密码一扫一个准（上图中写的是100%）。

2、更强的密码战略是什么？普通用户怎样办？

在公告中，我们看到A站说自2017年7月7日之后，用了更强的加密算法战略，那这种战略是什么？

西盟猜想，A站此次被拖库，不只仅是密码的成绩，在拖库之前，黑客一定是曾经经过SQL或许XSS等破绽攻击手腕入侵了网站，才干被拖库，所以网站自身是有破绽的，要先堵住破绽。

然后，再谈真被入侵了，再采取哪些措施。公告中所说的更强的加密战略，西盟猜想应该是晋级了加密算法，比方舍弃 MD5，采用了 sha256 等破解难度更高的加密算法。

所以，我们看到公告中说，7月7号他们晋级了加密算法，但这只针对用户再次输出密码时才干晋级，不输出的话，A站不晓得你的原有密码，它数据库中存储的是不可逆的加密数据（虽然局部能够可以经过下面的破解网站破解），也就没有方法直接对原始密码停止重新加密，除非用户重新登录时才可以重新加密存储。而很多用户没有重新登录的话，最初的后果就是，东窗事发，黑客拖库取得了少量的较容易破解的加密数据，上千万用户人心惶惶。

那高危用户如今该怎样办？西盟给出了三点惯例建议：

1、重要网站不要和普通 网站用一个密码。

2、密码尽量复杂点。

3、尽量拜访https的网站等。

3.拖库的局部数据曾经能在 github 上看到？A站究竟是什么时分晓得用户的数据走漏的？

明天，在 A 站宣布声明和暗网兜售数据的截图之外，雷锋网编辑还看到了局部在 github 上曾经发布的数据，这意味着，黑产不必费力去弄比特币在暗网上购置，直接点出来就能失掉局部用户的走漏数据。

话说，黑客不计划拿这个卖钱了？

紧接着，雷锋网编辑又看到了底下的这张截图，粗心就是黑客早已把平安破绽报给A站，但是对方不理他们，后来他们被惹毛了～

黑客扬言，6月13日，会在 Github 上发布300条，假如还没有回复，15号会紧接着发布3000条，假如再没有回复，18号就是10000条，还会包括 admin 用户。。。

所以A站选择明天发公告，并不是由于它明天才晓得有严重的数据走漏的！

4.摩拜真的被拖库了吗？假如失实，会有哪些结果？

在网下流传的暗网售卖截图中，与A站并肩呈现的还有摩拜。

关于摩拜能否中招的成绩，西盟回应，目前他还没有看到有实锤的数据出来，所以不能百分之百一定。

不过目前，已有售卖的截图在圈内传播。

西盟以为，假如失实，那么，摩拜用户的团体信息，住址、骑行记载（从哪到哪，是不是常常去骑车去酒店开房）、手机、邮箱等数据也能够被走漏。

此前，csdn也遭遇过明文密码走漏，更恐惧！联通也中过招，有破绽可以查到一个手机号的通话记载，比方常常和哪个手机号联络（几乎是抓小三神器）。

5、取得 shell 后会发生哪些结果？

除了用户的数据走漏，暗网中兜售的还有网站 SHELL 和内网权限，这会形成哪些结果？

普通来说，shell 是黑客入侵网站效劳器后，给网站效劳器植入的后门，方便日前面对效劳器停止控制，获取数据。那假如被黑客拿到权限，会有哪些结果？

西盟以敏感数据举例，在公司外面普通都会有本人的内网，公网是不能直接拜访的，比方内网文件效劳器、内网 OA 等，假如黑客拿了网站权限 ，就能晓得这家公司真正有多少用户、活泼率如何，平常公关时对外发布的数字能否真实？假如虚伪，会直接影响公司融资，然后。。。狗带？

他还总结了一波各类网站被黑客取得 shell 的进程和结果，大家可以感受一下。

1、很多网站拖库后，可以拿到用户的手机号和密码，然后再去试下你的领取宝、微信是不是用的同一个密码之类，或许是把你们网站的用户联络方式卖给其它公司，比方存款的、卖房的。

2、一些媒体网站被入侵后，被黑客直接用来发博彩广告。（我要把这个例子通知老板）

3、修正公益网站的捐款网站，偷偷把对外发布的捐款银行帐号改成本人的，反正都是数字普通人也看不懂。

4、入侵电商网站，偷偷给本人充值，或许把1万块钱的东西改成1块钱的，本人一买，然后再把原价改回去。

5、入侵游戏公司，有本人研发的，偷了你们代码，去建私服或许卖掉。

6、把公司合同数据偷回来，然后卖给竞争对手挖墙脚。

。