撞庫(kù)攻擊是場(chǎng)持久戰(zhàn)

京東安全應(yīng)急響應(yīng)中 用戶數(shù)據(jù)一直是目前互聯(lián)網(wǎng)行業(yè)的焦點(diǎn)，廠商和之間在用戶數(shù)據(jù)這個(gè)舞臺(tái)上一直在進(jìn)行著曠日持久的攻防戰(zhàn)。而撞庫(kù)則是獲得用戶數(shù)據(jù)最常用的。本期我們來(lái)聊一聊撞庫(kù)。汽車(chē)之家安全專家H5網(wǎng)安全專家齊跡撞庫(kù)是通過(guò)收集互聯(lián)網(wǎng)已的用戶和信息，生成對(duì)應(yīng)的字典表，嘗試批量登陸其他后，得到一系列可以登錄的用戶。很多用戶在不同使用的是相同的帳號(hào)，因此可以通過(guò)獲取用戶在A的賬戶從而嘗試登錄B，這就可以理解為撞庫(kù)。 郵箱、字典進(jìn)行下一是的。撞庫(kù) 一直是各大企業(yè)頭痛的問(wèn)題， 對(duì)于黑產(chǎn)、黃牛來(lái)說(shuō)，被破只是時(shí)間問(wèn)題。 雖然也增加了很大的難度，但關(guān)鍵是企業(yè)大了，接口那么多總有被遺忘的角落，給了黑產(chǎn)機(jī)會(huì)。撞庫(kù)的弱點(diǎn)主要在一些不起眼的地方，比如登錄調(diào)用的api之類的，直接post，pass等參數(shù)，就返回true或者false。，也是一個(gè)，用這些賬號(hào)去發(fā)布虛假信息。另外還有很多，比如掃號(hào)后去做免登爬蟲(chóng)、熱部署做業(yè)務(wù)、等，如果有金錢(qián)的賬戶可以直接進(jìn)去。行業(yè)最簡(jiǎn)單的就是詐騙，最大的風(fēng)險(xiǎn)是信息，撞庫(kù)是很重要的一部分。？我們把控每個(gè)產(chǎn)品安全上線的流程，其中關(guān)鍵接口都會(huì)對(duì)接FDS風(fēng)控，例 提到的很多企業(yè)對(duì)于判斷用戶名是否存在的接口不關(guān)心，但在 行業(yè)不一樣，行業(yè)是非常關(guān)注這些看似很弱小的接口。我們發(fā)布過(guò)安全紅線要求，其中就有一條是關(guān)鍵接口需要做好防頻調(diào)控。6、 、人機(jī)識(shí)別等。可通過(guò)ip換算 在算距離，我們的登陸 個(gè)，所以xss拿了 也不一定好使，這也是為什么有些人xss后拿去無(wú)法登陸的一種原因。再往后，就是行為分析基于用戶行為（時(shí)間段、頻率、瀏覽器、路徑、來(lái)路等），通過(guò)算法對(duì)用戶的行為進(jìn)行聚類，得到大部分用戶的行為路徑，然后通過(guò)