喧嚣背后的真相：12306数据泄露事件深度分析

恰逢春运前，铁道部12306网站“13万用户数据泄露”“快去改密码！”“32G用户数据库下载”瞬间刷爆了网络。一时间很多猜测，很多言论，很多“谣言”，很多“真相”……它们充斥着我们的视线。

莫让迷雾遮望眼——作为一个信息安全从业者和技术人，是时候冷静的坐下来看看究竟发生了点什么了。

起因

热点事件传播的开端可能都大同小异了，无非是微博，QQ或是其他社交渠道发现了一则“12306用户数据泄露”的消息。一开始你只是在“互联网的那些事”等营销微博号上看到，接下来发现门户的官微转发了，再后来人民日报发了！最后，央视居然TMD也报道了！年末这么多媒体不可能一起来炒作忽悠大众吧！网民们的第一反映——这绝对是大事件！12306被入侵了，数据库被黑客泄露了……

随之而来的是，好事者和技术宅开始了搜索之旅，各种离线文件各种云盘各种存储渠道的链接向你袭来，于是你机智的下载了……伴随着间歇性转发，此时高傲的你面对着四处求种的人们还带着一丝优越感——哼，哥早就有了！

下载下来一看，我们得到的不是传说中的22G，18G，32G或37G！（以大小来标记数据貌似也是从下载动作片开始…已经越来越像炒作了！）而我们看到的是14M，约13万的用户数据。就像这样：

看到这里，只是个起因而已，是的没错，大多数人都做到了这一步，如果这个你都没做到的话，恩，只能说看热闹不怕事儿大，你连热闹都没认真看啊！

升温

热点事件就是这样，要么不温不火，要么火到源头都控制不了局面。很多人开始在这14M的数据里开始挖掘了，有很多人开始在数据里查询自己活朋友的信息了，无论是否处于好意，但是这个时候你就会发现，数据没有想象中那么齐全：

然后，更多的人选择了继续寻找全的数据，这个时候，你就想着了魔或者是强迫症患者一样开始疯狂的寻找，你开始重新关注22G，32G…

那么好吧，很多人开始消耗那些在我国实属不便宜的宽带费用，甚至第一次开启了下载软件的VIP会员，就是不能沦为人后，这是一个数据的时代！大数据的时代，什么数据价值还能大过12306吗？

笔者也不能免俗，但是总有不详的预感，整个事件发展到这里，跟一些桃色事件、XX门太像了！果不其然，在2014的这个圣诞节，我等屌丝们再次怀着无比激动的心情，打开下载文件，再次重温了儿时经典《葫芦娃》！

失控

当人们还在沉醉于朋友圈转发和找种子的激情时，一些明眼人或着保持理智的人开始意识到——被央视转发的新闻就是真事吗？新闻的源头会不会有问题？12306真被黑了？

于是12306第三方网站被黑的论调出现，分销商和分销网点数据泄露似乎是个不错的解释，可能性也极大。但是此刻立即有阴谋论者跳出来说：这是托词，是推诿，是12306在找临时工顶包！

另一种在我看来比较理智的是“撞库”说，我们随机抽出所谓“泄露数据库”中的100条数据，将他们的密码提取出来，然后尝试登录12306，你会发现：“花擦！居然都能用呢！”。

FreeBuf小科普：什么是“撞库”

少量数据验证正确并不能代表这些数据就是12306网站流出的，而很有可能是黑客们将一些已经泄露的数据库（比如多年前的CSDN）很好的贯彻了数 据整理的思想，通过12306进行了验证（俗称洗白）把能够成功登陆的账号密码汇总，并且将登陆后拿到的身份证信息，电话信息和姓名信息一并汇总，也就是 俗称的“撞库”。

那么这样费劲撞库得来的数据，为什么会泄露出来呢？以下是一些猜想：

1、没有买卖就没有杀害，数据被买卖，货卖多家导致扩散开来
2、多方联合的炒作事件——懂的人骗不懂的。然而炒作都是有利益关系的，这大家自己YY下就好了
3、自我“逼格”的提升，干了这么“惊天动地的”事情人，想低调都觉得对不起自己
......

好吧，这些暂且不说了，至此12306事件与跟当年被翻炒了多少遍的冷饭“开房数据泄露”如出一辙，却彻底被炒火了甚至失控了。有些小伙伴也是相当有才，分分钟连专用的查询社工库都出现了，我只能说你太机智了，手速也真是快啊：

高潮

当门户、“业内人士”“专家”联手将12306话题推向高潮的时候（据说专家们还要把2014称为漏洞之年）……一群人坐不住了，他们急于证明黑客不只能做“撞库”这种毫无技术含量的事！

于是“安全圈”流出了很多的截图，说12306的服务器已经被入侵了，甚至给出了截图的证明：

重磅炸弹，貌似一瞬间推翻了之前证据确凿的“撞库”论，恩，这次事件开始有意思了，高潮来了一浪又一浪！这个时候，甚至有人将12306服务器的控制权限（webshell和连接密码）都丢出来了，也就是说，谁都可以直接使用12306服务器的控制权限。

终于可以聊聊漏洞了

是啊，真正事件的过程中，信息量太大了，事件源本身似乎也并非漏洞？都来不及去看看技术相关的东西了

好了，我们先来看看网上公布的入侵证据：

这一张和第一张重磅炸弹一样，黑客使用struts漏洞（曾于2013年爆发）拿到了服务器控制权限，原图还不打马赛克，把包含漏洞网站域名清晰的展现给大家，仿佛就是说“欢迎来搞！”

所以，一旦你看到截图，联想到这个漏洞，那么想测试这个漏洞实在是太简单了，所以一大波入侵者和好事者正在来袭，比如这样：

漏洞危害我就不说了，一目了然，但是漏洞毕竟不是不重要，安全也绝对不是吓唬大众，该有节操还是要有，说到这里，到底如何，旁观者心中明白，搞技术的这个时候一定不能添油加醋…

都说是“撞库”，但12306真有漏洞

有几个值得我们思考的地方，就是真正入侵12306服务器或者说发现这些漏洞的人究竟在什么时候就开始了呢？Struts2漏洞爆发也是long long ago了，并且该漏洞在2013年集中地爆发过。当时状况惨不忍睹，各种知名、大型网站纷纷落马。

但为什么当时没有人说12306被黑了呢？或者说那个时候12306奇迹般的存活了下来？

那么可能性就只有三种了：

1、12306在struts2漏洞爆发的时候，已经被人入侵，只是一直潜伏，这次事件太热，才浮出水面
2、当时struts2漏洞爆发的时候，漏洞被批量利用，但是12306官网并不存在该漏洞，或者说当时大家没有发现12306的子域名和子站（这次6~7存在struts2漏洞的均为12306的子站）。所以得以幸免。
3、都是中国人，年年春运都实属不易，没有人忍心干掉12306（这一条可以忽略，但我要传播正能量！）

第一种可能性上文我们详细阐述过了，至于第二种，我觉得，那这次漏洞被发现可能是因为很多辅助的原因，因为当struts2漏洞爆发的时候，大家寻找存在漏洞的目标去利用一般使用google的语法，所以很可能那个时候真没找到12306这些存在漏洞的分站。

服务器是入侵了，但数据呢？

事情理到这里也差不多了，但是大家有没有发现，这些入侵截图都没有连接数据库的截图，也就是说是不是这些分站都没有12306数据，与此次泄露毫无关联？

虽说攻击者可以利用struts2漏洞入侵服务器，获取最高权限，但即使最高权限你也不能获取到服务器上本就没有的东西……

所以笔者判断，最初的14M 13万数据还是一次“撞库”的成果总结，这也就能解释为什么数据中的密码全是明文了。

结语

对12306来说，漏洞什么时候都该修补，漏洞爆发时要补，不管别人能不能找到你，不要存在侥幸心理，漏洞爆发的风头过去后产品才上线也要补，坏人总在角落盯着或等着你。

而笔者认为，信息安全从业者做的是让大家了解事件的危害，警觉起来，提高意识，几时修改密码什么的，而不是一味的吓唬大众来炒热整个行业，吓唬得到的是恐惧，而不是尊敬。

对大众而言，立即修改你的密码（买票了的话），没买票的，直接删除所有人名和身份证信息吧。春运在即，实属不易。另外，从今天起，你可以也需要关注信息安全了。