最近，安全圈又有一個大新聞，微博名為@安全_雲舒的微博使用者在發文稱：“很多人的手機號碼洩露了，根據微博賬號就能查到手機號……已經有人透過微博洩露查到我的手機號碼，來加我微信了。”
並且，據說微博CEO的手機號碼也被洩露了！（微博CEO，微博名@來去之間，江湖人稱“來總”）
這件事情鬧得挺大，經常刷微博的女朋友也知道了，然後過來問我：
微博CEO @來去之間 轉發微博稱資料“是 2014 年以前網易那次撞庫的”
撞庫
”撞庫”是駭客透過收集網際網路已洩露的使用者和密碼資訊，生成對應的字典表，嘗試批次登陸其他網站後，得到一系列可以登入的使用者。
很多使用者在不同網站使用的是相同的帳號密碼，因此駭客可以透過獲取使用者在A網站的賬戶從而嘗試登入B網址，這就可以理解為撞庫攻擊。
說的簡單一點，就是一個小偷，入室盜竊後偷到了一串鑰匙，然後他拿著這串鑰匙，在整個小區裡面挨家挨戶的進行開鎖。這個過程就是撞庫。
微博官方解釋稱，網路上的洩露資料來源於：“2018 年底，有使用者透過微博相關介面透過批次手機批次上傳通訊錄，匹配出幾百萬個賬號暱稱”。
這種操作確實是撞庫的一種，就是拿著事先準備好的批次手機號，再透過微博的介面匹配對應的微博賬號。
這說明之前確實因為微博的介面自身不夠安全，導致資料被別人透過撞庫的方式獲取到了。雖然後期及時加強了安全策略，但是還是有一大批資料被暴露了。
漏水
“漏水”是指某些企業自身出現風險導致的資料洩露。
一般是因為企業沒有按照統一規範流程搭建業務，比如沒有做好關鍵資料隔離、沒有做好許可權分層管控、沒有做好資料加密儲存等而出現的資料安全問題。
拖庫
拖庫本來是資料庫領域的術語，指從資料庫中匯出資料。到了駭客攻擊氾濫的今天，它被用來指網站遭到入侵後，駭客竊取其資料庫。
駭客透過技術手段竊取資料庫的過程叫做拖庫。就像小偷偷東西是一樣的。
“拖庫”的通常步驟為：
1、駭客對目標網站進行掃描，查詢其存在的漏洞，常見漏洞包括SQL注入、檔案上傳漏洞等。（小偷蹲點）
2、透過該漏洞在網站伺服器上建立“後門（webshell）”，透過該後門獲取伺服器作業系統的許可權。（小偷想辦法進入室內）
3、利用系統許可權直接下載備份資料庫，或查詢資料庫連結，將其匯出到本地。（小偷盜走值錢的東西）
小偷想要入室盜竊的前提就是可以入室，那麼，在網際網路中，駭客一般都是利用網站自身存在的漏洞來入侵的。
最常見的網站入侵的方式就是駭客利用網站的漏洞來對網站進行攻擊。這裡說的網站漏洞包括網站應用自身的漏洞、網站使用的WEB伺服器的漏洞、網站使用的開源框架中的漏洞、網站使用的資料庫漏洞等。
比如，如果應用自身沒有做防SQL注入、存在檔案上傳漏洞等，就極大可能被駭客入侵。
駭客還有可能會利用系統漏洞，在特定的網站上進行掛馬，如果網站管理員在維護系統的時候不小心訪問到這些網站，就可能被植入木馬，也會引發後續的拖庫風險。
洗庫
“洗庫”，屬於駭客入侵的一種，就是駭客入侵網站，透過技術手段將有價值的使用者資料歸納分析，售賣變現。
說的簡單一點，就是一個小偷，入室盜竊後偷到了很多東西，他對這些贓物分類，然後進行銷贓的過程。
就像本次 5。38 億條微博使用者資訊在暗網出售，其中，1。72 億條有賬戶基本資訊，售價 0。177 比特幣。這個過程就是在洗庫。
本次洗庫的內容涉及到的賬號資訊包括使用者 ID、賬號釋出的微博數、粉絲數、關注數、性別、地理位置等。有使用者在 Telegram 上透過交易，已經買到了自己微博繫結的主要資訊，包括賬號身份證號、密碼、手機號等等。
