5月22日，烏云漏洞平臺曝出錘子科技官網(wǎng)無限制撞庫漏洞，同時烏云平臺將此漏洞的危害等級也定為了“高”，雖然相關(guān)損失還無法統(tǒng)計，但針對近期頻發(fā)的小米“脫庫”、錘子“撞庫”事件，百度安全中心專家稱，用戶應(yīng)對此類事件的最好方法是及時修改密碼，以防個人信息慘遭泄露，同時針對錘子的“撞庫”事件也給出了分析。

　　 昨日，國內(nèi)知名的安全問題反饋及發(fā)布平臺烏云網(wǎng)(WooYun.org)顯示，由于網(wǎng)站本身存在設(shè)計缺陷和邏輯錯誤，錘子官網(wǎng)出現(xiàn)了無限制撞庫漏洞，其危害等級為高。目前，烏云已將相關(guān)漏洞細(xì)節(jié)反饋給廠商，但錘子官方并未給出任何回應(yīng)。

　　 不過，百度安全專家分析稱，如果此次事件真是因為網(wǎng)站漏洞，用戶就應(yīng)及時修改密碼，但聯(lián)系到近日錘子手機發(fā)布，以及網(wǎng)站用戶關(guān)注度的問題，錘子官網(wǎng)是否真的會有大批量注冊用戶，是否是借“撞庫”事件炒作也讓人心存疑慮。

　　 不過什么是撞庫、拖庫?它們在出現(xiàn)，究竟能給用戶帶來哪些危害?百度安全中心的相關(guān)技術(shù)人員就這些問題給出了翔實解答，同時，用戶應(yīng)如何防范這些惡意行為，百度度安全中心也給出了中肯的建議。

什么是撞庫?

　　 撞庫是一個看起來很專業(yè)，但實際理解起來卻很簡單的名詞。它其實就是黑客無聊的“惡作劇”。黑客首先會通過收集互聯(lián)網(wǎng)已泄露的用戶+密碼信息，生成對應(yīng)的字典表，然后再用字典中羅列的用戶和密碼，嘗試批量登陸其他網(wǎng)站，這樣，一旦用戶為了省事，在多個網(wǎng)站設(shè)置了同樣的用戶名和密碼的話，黑客很容易就會通過字典中已有的信息，登錄到這些網(wǎng)站，從而獲得用戶的相關(guān)信息，如：手機號碼、身份證號碼、家庭住址，支付寶及網(wǎng)銀信息等。這些信息泄露后，不僅會給用戶和精神和經(jīng)濟帶來巨大損失，同時也會給相關(guān)網(wǎng)站帶來負(fù)面影響。

　　 比如：最近京東發(fā)生的抹黑事件，實際上，黑客就是利用“撞庫”手法，“湊巧”獲取到了一些京東用戶的數(shù)據(jù)(用戶名密碼)，然后通過模仿用戶評論，給京東留下了大量抹黑的差評。

　　 什么是拖庫?

　　 和撞庫一樣，拖庫也是一個黑客術(shù)語，它指的是黑客入侵有價值的網(wǎng)站，把注冊用戶的資料數(shù)據(jù)庫全部盜走的行為，因為諧音，所以也常被稱作“脫褲”，比如前幾天剛發(fā)生的小米用戶信息大量泄露事件，就是拖褲行為的一個典型案例。

　　 在該事件中，小米用戶名和密碼大量泄露，黑客反過利用這些用戶名和密碼，登錄小米服務(wù)器，獲得了極其詳細(xì)的用戶資料，其中包括用戶的手機號、郵箱甚至通訊錄等。

　　 一般來說，在取得大量的用戶數(shù)據(jù)之后，黑客會通過一系列的技術(shù)手段和黑色產(chǎn)業(yè)鏈，將有價值的用戶數(shù)據(jù)變成現(xiàn)金以達(dá)到非法獲利的目的。這一過程被稱為“洗庫”。

撞庫、拖庫會給用戶帶來哪些危害

　　 百度安全中心表示，黑客千方百計獲取用戶信息的唯一目的無非是為獲利。目前，黑客在獲得用戶信息后，一般會通過以下幾種途徑來迅速獲利。

　　 一是售賣用戶賬號中的虛擬貨幣、游戲賬號、裝備等變現(xiàn)，也就是俗稱的“盜號”;

　　 二是對于金融類賬號，比如：支付寶、網(wǎng)銀、信用卡、股票的賬號和密碼等，則可以用來進行金融犯罪和詐騙;

　　 三是對于一些比較特殊的用戶信息，如：學(xué)生、打工者、老板等，則會通過發(fā)送廣告、垃圾短信、電商營銷等方式變相獲利;

　　 四是會將有價值的用戶信息直接出售給第三方，如網(wǎng)店經(jīng)營者和廣告投放公司等。

　　 顯然，這當(dāng)中無論哪種方式，都會給用戶的日常生活帶來嚴(yán)重困擾，甚至直接帶來經(jīng)濟損失。比如前幾天小米用戶信息泄露后，不少手機用戶都反饋稱接到了01053799231、02160544527等來電。這些來電可提供準(zhǔn)確小米用戶的個人信息，如：姓名、地址、電話、購買記錄等，以貨到付款的方式進行詐騙，就是上述危害中很常見的一種。

　　 網(wǎng)絡(luò)用戶應(yīng)如何保證自己的信息安全?

　　 為很好地防范撞庫行為的發(fā)生，切實保障自己的信息安全，百度安全中心建議，廣大網(wǎng)民應(yīng)提高防范意識，從以下幾個方面入手規(guī)避風(fēng)險：

　　 一是不要圖省事，在所有網(wǎng)站都使用統(tǒng)一的用戶和密碼，特別是對于一些重要的網(wǎng)站，如：游戲、購物、支付類服務(wù)網(wǎng)站等，一定分使用獨立的、復(fù)雜的密碼，并定期更換;

　　 二是系統(tǒng)一定要勤打補丁，安裝一款安全防護及殺毒軟件。目前百度衛(wèi)士和百度殺毒等，已能有效地防止各種木馬、病毒的攻擊，并能對釣魚網(wǎng)站和含有惡意代碼的網(wǎng)站，進行有效識別，可最大限度減少用戶被攻擊的風(fēng)險，從根本上保證用戶信息的安全。

　　 三是盡量不要使用盜版軟件，盜版、破解的軟件往往存在各種貓膩，后門存在的可能性很大;

　　 四是不可信的軟件，就安裝在虛擬機中運行，待確認(rèn)安全后，再安裝到物理機中;

　　 五是盡量不要在公共場合(如咖啡廳、機場等)使用公共無線，

　　 六是自己的無線AP，用安全的加密方式(如WPA2)，密碼復(fù)雜些;

　　 七是離開電腦時，記得按下“Win(Windows圖標(biāo)那個鍵)+L”鍵鎖屏，這個習(xí)慣看起來很麻煩，其實非常關(guān)鍵。