关于此次事件的探讨

显示全部楼层 · 发表于 2012-10-12 22:59:19

嗯，按照最坏的情况考虑的话，应该是要求所有人都重置密码，之所以没有这么做，是想观望下情况，是否能进一步确认截获的账号密码到底有多少，结合机房的情况来看，是通过其他机器来截获，机房方面有察觉流量异常，比如原本发到我们服务器上的数据，同时跑到另外的服务器上，机房内能监控到，所以当时机房第一时间联系了我，怀疑我们是ARP攻击源，虽然最终证明不是我们，但是这个可以说明，截包只发生机房检测到机器发包异常的情况，也就是9号夜里11点以后，之后论坛断断续续，可以被截包的时间段为9日的23点到10日的4点，10日8点到14点，及10日的13点半到15点，然后由于机房一直未能解决根源问题，就一直关闭，直到11日13点才在阿里云重新开放，抛开保留cookie记录的，那几个时间段输入账号密码进入论坛的人可能占总会员数的比例不是太大，当然，估计如果真都被截获的话，估计数量不会太小，不过根据机房的反馈，如果都截，然后从所有的传输数据中筛选符合条件的数据的话，异常会比较大，机房会切断部分异常服务器的网络，所以我判断被截获的量可能不会太大，当然，这个需要观望，最好还是修改密码。

数据库存储时加密的，进入数据库里也看不到明文。
设置了安全提问，理论如果截包的话，也是一样是明文，可以被过滤出来。
这种嗅探，只能是嗅探到传输的明文内容，服务器上存储的没有进行传输的数据都是无法获取的，除非通过截包，从中获取一些论坛高权限账号，通过这些可能的账号在论坛植入shell（除非程序有bug，理论上包括我的账号在内，都不可能直接通过dz的正常功能实现在论坛的shell植入），否则都无法直接从服务器上读取数据；
呵呵，我的头像是根据部分饭友反应好像不能上传头像，做测试的时候随便拿logo来测试的，有时间就会换回去。

显示全部楼层 · 发表于 2012-10-12 23:03:30

theone 发表于 2012-10-12 22:59
嗯，按照最坏的情况考虑的话，应该是要求所有人都重置密码，之所以没有这么做，是想观望下情况，是否能进一 ...

码字辛苦

慢慢细看。

早点休息。

感谢解答。

显示全部楼层 · 发表于 2012-10-12 23:05:45

a8181811 发表于 2012-10-12 22:35
其他网站在阿里晕效果如何？
蓝字1 2 3作何解释？

阿里云有类似物理隔断的措施，也就是不同用户名下的服务器是区隔的，相当于一个用户是一个小机房，只能名下的服务器互相访问，也就不存在ARP或者嗅探之类的了。

显示全部楼层 · 发表于 2012-10-12 23:06:38

theone 发表于 2012-10-12 22:59
嗯，按照最坏的情况考虑的话，应该是要求所有人都重置密码，之所以没有这么做，是想观望下情况，是否能进一 ...

是不是说那个时侯不是用输入帐号密码方式，而是用COOKIES登录的都不会被截取到密码吗？
不是说截取到COOKIES也一样可以得到密码的吗？因为COOKIES里面也保存有用户名和密码。

显示全部楼层 · 发表于 2012-10-12 23:12:52

紫涵发表于 2012-10-12 23:06
是不是说那个时侯不是用输入帐号密码方式，而是用COOKIES登录的都不会被截取到密码吗？
不是说截取到COO ...

嗯，这个我不确定，如果也存有用户名和密码，那么服务器端与客户端是实时对比，还是多久对比一次，还是什么机制，应该会有不同。

显示全部楼层 · 发表于 2012-10-12 23:13:34

本帖最后由 virusdefender 于 2012-10-12 23:15 编辑

论坛全部换密码的做法没有很大必要，因为这次是使用的抓包的方法，只有在那段时间内使用账号密码的会员才可能被抓包，泄露密码，我估计大量泄漏的可能性不大，否则那个流量会变化比较大的。

在数据库里的密码是经过加密的，不可能通过密码和加密后的密文范喜出加密算法的，毕竟dz是一个成熟的论坛系统，不会有什么明文存放等情况的。

另外，对于论坛系统的漏洞问题，我最近听说有的黑客的确是有论坛系统的oday，但是我不知道是不是这次使用的。这个对于时间的发展和其他论坛的情况，我们还有继续关注。
QQ截图20121012231315.png

显示全部楼层 · 发表于 2012-10-12 23:15:21

紫涵发表于 2012-10-12 23:06
是不是说那个时侯不是用输入帐号密码方式，而是用COOKIES登录的都不会被截取到密码吗？
不是说截取到COO ...

劫cookie以后只能在自己的电脑上伪造得到cookie然后登录，卡饭的cookie里不保存用户名和密码吧

显示全部楼层 · 发表于 2012-10-12 23:18:27

一样的月光发表于 2012-10-12 23:15
劫cookie以后只能在自己的电脑上伪造得到cookie然后登录，卡饭的cookie里不保存用户名和密码吧

应该保存吧，清理浏览器缓存，论坛就成了未登录状态了吧

显示全部楼层 · 发表于 2012-10-12 23:24:10

本帖最后由紫涵于 2012-10-12 23:25 编辑

一样的月光发表于 2012-10-12 23:15
劫cookie以后只能在自己的电脑上伪造得到cookie然后登录，卡饭的cookie里不保存用户名和密码吧

怎么可能不保存，不保存你不是每次都要输入用户名和密码了。

显示全部楼层 · 发表于 2012-10-12 23:25:36

本帖最后由 yloko 于 2012-10-12 23:28 编辑

一样的月光发表于 2012-10-12 23:15
劫cookie以后只能在自己的电脑上伪造得到cookie然后登录，卡饭的cookie里不保存用户名和密码吧

对，这里有本质的区别，，

一个是伪造身份（对应服务器端的身份证验），，一个是得到帐户和密码。。。。。两者有本质的区别,,

另外cookie本身是加密的，

[其他相关] 关于此次事件的探讨

评分