淘宝“拖库门”已辟谣！详解拖库攻击Struts2现高危漏洞「拖库步骤」

　　据微博2013年7月22日传出来的消息，淘宝的数据库因为Strust2漏洞被拖了，俗称拖库。这意味着淘宝的数据库存在被泄露的风险，一如曾经的CSDN数据泄露，而对于淘宝和支付宝来说，如果传闻当真，数据泄露造成的损失将无法估量，堪称互联网灾难日。而淘宝网官方也对此传闻第一时间迅速地进行了澄清辟谣，表明淘宝未发现受Struts命令执行漏洞影响，截止目前，用户的数据安全和帐户数据未见任何异常。目前来看，拖库的传闻是谣言的可能性更大，但无论如何，对于类似“拖库”这样陌生的专业名词，什么是拖库攻击，Strusts2高危漏洞又是怎么一回事?相信很多网友都存在着疑惑，以下为你一一详解。

什么是拖库?

　　拖库一词多用于数据库程序员专业人士使用，但其实语意很简单，就是从数据库导出数据，或者可以简单理解为“下载数据库”。很多时候数据库的资料需要导出来在别的地方使用，并且数据库资料可以导出好几种格式，例如：TXT，XLS等格式。而到了黑客攻击泛滥的今天，它也常被用来指网站遭到入侵后，黑客窃取其数据库。

什么是拖库攻击?

　　拖库攻击通常分为以下步骤：

　　首先，黑客对目标网站进行扫描，查找其存在的漏洞，常见漏洞包括SQL注入、文件上传漏洞、Struts命令执行漏洞等。

　　然后，通过该漏洞在网站服务器上建立“后门(webshell)”，通过该后门获取服务器操作系统的权限。

　　最后，利用系统权限直接下载备份数据库，或查找数据库链接，将其导出到本地。

什么是Strusts2漏洞事件?

　　7月17日，Apache Struts2发布漏洞公告，称其Struts2 Web应用框架存在一个可以远程执行任意命令的高危漏洞。并且直接在漏洞公告中将漏洞利用代码给公布出来了。这一漏洞的公布直接导致许多安全公司和互联网公司安全部门的工程师们都没睡好觉，通宵达旦的在加班。因为国内的很多银行、政府机构、几乎所有的大中型互联网公司都是使用Struts2框架的。利用Struts2漏洞，最常见会发生的就是网站的数据泄露，黑客可轻易攻陷网站服务器，对网站的数据库进行“拖库”，从而获取网站注册用户的帐号密码和个人资料等。目前，网络上已出现了一些自动化、傻瓜化的Stuts2漏洞攻击软件了。

拖库存在什么危害?

　　根据资料显示部分网民习惯为邮箱、微博、游戏、网上支付、购物等帐号设置相同密码，一旦数据库被泄漏，所有的用户资料被公布于众，任何人都可以拿着密码去各个网站去尝试登录，对一些敏感的金融行业是致命的危害，对普通用户可能造成财产，个人隐私的损失或泄漏。2011年末的密码危机拖库事件便是典型的例子。

　　对于媒体型互联网站来说，泄漏的是邮箱账户和密码。黑客通常会利用其猜测其它网站的密码，或者收集邮箱账户做成数据库，卖给垃圾邮件发送者。

　　对于有较多个人信息的SNS社交网站来说，黑客可以利用个人资料去进行网络诈骗、网络钓鱼、“QQ借钱诈骗”等。

　　对于电商网站，数据库主要包含了用户的购买行为、住址、手机号、支付帐号等，黑客可高价贩卖用户行为资料给行业的竞争对手进行网络营销或者直接进行网络诈骗。

　　对于银行、证券等网站危害更是不可想象，一旦出现安全漏洞，分分钟就可能是巨大的金额损失。

　　所以说，拖库的危害因人而异，取决于数据库的价值。

　　无论淘宝的数据库是否有被拖，但Struts2高危漏洞引发的潜在拖库危害确实存在，对于网友来说，加强自我安全保护意识也是必须的，根据不同的网站设置不同的密码，一旦发现帐号异常、立即更改密码，才能将潜在危害减至最小。