用戶數據泄露一直是如今互聯網世界的一個焦點，互聯網上幾乎每天都有個人信息或注冊信息泄露的事件發生，而剛剛過去的315晚會也在曆次的曝光中，頻頻提到社會上各種應用有意或者無意的都在泄露用戶信息，服務商和黑客之間在用戶數據這個舞台上一直在進行著曠日持久的攻防戰。

對于大多數用戶而言，撞庫、拖庫、洗庫可能都是很專業的名詞，但真正理解起來都很簡單，撞庫是黑客無聊的“惡作劇”，黑客通過收集互聯網已泄露的用戶+密碼信息，生成對應的字典表，嘗試批量登陸其他網站後，得到一系列可以登陸的用戶。拖庫“是指黑客入侵有價值的網絡站點，把注冊用戶的資料數據庫全部盜走的行爲，因爲諧音，也經常被稱作“脫褲”，在取得大量的用戶數據之後，黑客會通過一系列的技術手段和黑色産業鏈將有價值的用戶數據變現，這通常也被稱作“洗庫”。

那到底數據是如何泄露的呢？

那上文中提到的這些拖庫、撞庫等等是怎麽發生的呢？單純從技術角度上講，黑客爲了得到數據庫的訪問權限，取得用戶數據，通常會從技術層面和社工層面兩個方向入手。

技術方面大致分爲如下幾種：

• 遠程下載數據庫文件

這種拖庫方式的利用主要是由于管理員缺乏安全意識，在做數據庫備份或是爲了方便數據轉移，將數據庫文件直接放到了Web目錄下，而web目錄是沒有權限控制的，任何人都可以訪問的；還有就是網站使用了一些開源程序，沒有修改默認的數據庫；其實黑客每天都會利用掃描工具對各大網站進行瘋狂的掃描，如果你的備份的文件名落在黑客的字典裏，就很容易被掃描到，從而被黑客下載到本地。

• 利用web應用漏洞

隨著開源項目的成熟發展，各種web開源應用，開源開發框架的出現，很多初創的公司爲了減少開發成本，都會直接引入了那些開源的應用，但卻並不會關心其後續的安全性，而黑客們在知道目標代碼後，卻會對其進行深入的分析和研究，當高危的零日漏洞發現時，這些網站就會遭到拖庫的危險。

• 利用web服務器漏洞

Web安全實際上是Web應用和Web服務器安全的結合體；而Web服務器的安全則是由Web容器和系統安全兩部分組成，系統安全通常會通過外加防火牆和屏蔽對外服務端口進行處理，但Web容器卻是必須對外開放，因此如果Web容器爆出漏洞的時候，網站也會遭到拖庫的危險。

社工方面大概有如下幾種：

• 水坑攻擊

黑客會利用軟件或系統漏洞，在特定的網站上進行挂馬，如果網站管理員在維護系統的時候不小心訪問到這些網站，在沒有打補丁的前提下，就會被植入木馬，也會引發後續的拖庫風險。

• 郵件釣魚

黑客會利用一些免殺的木馬，並將其和一些管理員感興趣的信息綁定，然後通過郵件發送給管理員，而當網站管理員下載運行後，也會導致服務器植入木馬，引發後續的拖庫風險。

• 社工管理員

對目標網站的管理員進行社會工程學手段，獲取到一些敏感後台的用戶名和密碼。從而引發的後續拖庫。

• XSS劫持

有時黑客也會爲了獲取某一些網站的帳號信息，他們會利用網站釣魚的手段去欺騙用戶主動輸入，但這種方式只能獲取部分帳號的真實信息，並沒有入侵服務器。

由此可见，密码设置安全了，并不能保证不被泄露，因为黑客入侵在时时刻刻发生着，这样意味着你的账户信息在不确定的某一天已经流入到了黑客或是别人手中。虽说常情况下，这些数据库中的个人信息如，邮箱 电话 真实姓名 性别 等都是明文存储的。而密码通常经过MD5或其他方式加密之后存储。但黑客可以很轻易地把他需要的且是明文存储的数据从数据库中剥离出来。而对于那些加密之后的数据黑客也可以通过暴力破解，字典破解和彩虹表等方式进行明文还原。

我們可以注意以下幾點來防止信息泄露：

一、謹防釣魚網站不隨意點擊鏈接

二、慎連免費WiFi

三、及時清除舊手機電腦的數據信息

四、定時更換密碼

五、提高安全意識，不隨意注冊、泄露敏感信息