开发者社区> 云栖大讲堂> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

FBI网站被黑致数据泄露?官方称这根本是个骗局

简介:
+关注继续查看

著名黑客CyberZeist最近入侵了FBI网站(FBI.gov),并将几个备份文件(acc_102016.bck,acc_112016.bck,old_acc16.bck等)公布在了Pastebin,数据内容包括姓名、SHA1加密密码、SHA1盐和电子邮件等。

【1.6 更新】黑客宣称攻破FBI官网利用的是Plone CMS系统的0-day漏洞。然而在这则消息放出后,Plone坐不住了,其安全团队特别发布了一篇博客文章,表示:这件事情与我们根本无关,绝对是栽赃!具体是什么情况,请往下看。

FBI网站被黑致数据泄露?官方称这根本是个骗局

FBI官网被黑,数据泄露

CyberZeist是个颇具名气的黑客,他曾是Anonymous的一员,2011年有过黑入FBI的经历。除此之外,巴克莱、特易购银行和MI5都曾是他手下的受害者。

本次入侵FBI官网的具体时间是在2016年12月22日——CyberZeist宣称利用Plone内容管理系统(CMS)的0-day漏洞侵入了FBI.gov。Plone的内容管理系统被认为是迄今为止最安全的CMS,很多高级部门使用这个CMS,其中就包括FBI。

CyberZeist解释说,他所利用的这个0-day不是他发现的,他只是想用FBI的网站测试一下这个漏洞,结果就成了。其他网站同样可能遭受相同的0-day攻击,比如说知识产权协调中心以及欧盟网络信息安全机构。

FBI网站被黑致数据泄露?官方称这根本是个骗局

德国和俄罗斯的媒体相继报道了此次黑客入侵事件,而美国的许多主流媒体却刻意忽视了这件事。

FBI在得知了CyberZeist的入侵后,就立即指派安全专家展开修复工作,但是仍未修复Plone内容管理系统的0-day漏洞。CyberZeist发现了FBI的修复工作后,并发了一条具有嘲讽性质的的推特。

FBI网站被黑致数据泄露?官方称这根本是个骗局

他对这条推特进行了补充:

我当然没有得到root权限(这明显嘛),但是我就是能知道他们在跑6.2版本的FreeBSD,这份数据最早可以追溯到2007年。他们最后的重启时间是2016年12月15日晚上6:32。

FBI网站被黑致数据泄露?官方称这根本是个骗局

CyberZeist透露说:

这个0-day漏洞是他从tor网络上买到的,而卖家不敢侵入FBI.gov这种网站。现在已经停止出售,我会在推特上亲自放出这个0-day漏洞。

该漏洞目前仍存在于CMS的某些python模块中。

[1.6更新]Plone回应:跟我们没有半毛钱关系

Plone安全团队看到CyberZeist这样黑Plone的CMS系统,他们当然坐不住了。于是Plone发了一篇博客全盘否认了CyberZeist的“发现”。

“Plone的安全团队已经看到了CyberZeist的犯罪声明,并对此Plone进行了检测,事实证明‘FBI被黑’是一个骗局。无论是Plone还是在基于Plone的系统都不存在0-day漏洞。”

FBI网站被黑致数据泄露?官方称这根本是个骗局

哇,好足的底气——这是要开撕的节奏吗?这是要打CyberZeist的脸啊。

Matthew Wilkes(Plone安全团队的成员)解释了为什么他们的团队认为‘FBI被黑’和‘Plone存在0-day漏洞’是骗局的原因。

原因一 ——版本不对

Plone是用python语言写的且运行在Zone的上层。Zone是一个基于python的网页应用服务器。而在CyberZeist的推特中,他是这么写的“我当然没有得到root权限(这明显嘛),但是我就是能知道他们在跑6.2版本的FreeBSD”。你们造吗,FreeBSD 6.2只支持Python2.4和2.5版本,但是Plone并不能在这种老版本上跑。

原因二——哈希值、盐值不一致

CyberZeist所泄露的数据的密码哈希值、盐值与Plone将生成的值不一致。这表明这些泄露的数据是在另一台服务器上批量生成的。值得一提的是,CyberZeist泄露的这些FBI邮箱在几年前就曾公之于众。(嘿嘿,就算FBI真的被黑了,也不是Plone的锅)

原因三——文件名称不符

CyberZeist声称他在含有.bck扩展文件的网页服务器的中发现了备份文件里的登录信息。但是,Plone数据库备份系统不会生成含有.bck扩展名的文件,而且Plone生成的备份存储在web服务器目录之外。

Wilkes说:

“修改这种行为方式很难,而且对于他来说没有任何好处。”

原因四-截图有破绽

CyberZeist在推特上上传的某些截图迫使FBI.gov暴露部分源代码。然而此类攻击通常是针对PHP应用程序的,对于没使用cgi-bin扩展类型的Python网站是不可能成功。

有一张截图显示的是邮件信息,这些信息很有可能是从FBI服务器的邮箱日志里提取的。

“这很有可能是他自己的服务器日志,他虽然把这个服务器日志名称改得和FBI一样,但是却忘记把邮件显示的时区从印度标准时间到东部标准时间”

原因五-CyberZeist有“造假”前科

没错,CyberZeist在这之前曾有“造假”记录。而伪造这次攻击的目的,可能是为了捞钱。FBI.gov作为一个使用Plone的知名网站,成功侵入它对于其他黑客来说具有很大的吸引力,很多黑客自然会到Tor网络上去买这个实际上不存在的0-day漏洞。要知道这个0-day的售价是8比特币,约9000美金。

在CyberZeist的“谣言”传出之前,Plone已经宣布了将在1月17日之前发布新的安全补丁,新的补丁与此次的0-day无关,旨在修复次要,低危的安全问题。


作者:佚名

来源:51CTO

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
SRPING02_配置数据源、原始注解开发、新注解开发、集成Junit代码实现(一)
SRPING02_配置数据源、原始注解开发、新注解开发、集成Junit代码实现(一)
17 0
SRPING02_配置数据源、原始注解开发、新注解开发、集成Junit代码实现(三)
SRPING02_配置数据源、原始注解开发、新注解开发、集成Junit代码实现(三)
34 0
实现网站页面的QQ临时会话,分享到空间微博等按钮.
原文:实现网站页面的QQ临时会话,分享到空间微博等按钮. 一 qq临时会话   要实现qq临时会话首先要到qq在线状态官网开通qq在线状态,其中临时对话也分为加密和未加密。 1.1:加密模式    1.2:未加密模式 非加密代码 效果:   
854 0
FFmpeg 读取视频流并保存为BMP
FFmpeg 读取视频流并保存为BMP 简介 基本概念 在演示如何读取视频文件之前,应先了解几个关于视频流的概念: 容器(Container): 视频文件本身就叫容器,容器的类型(比如AVI、MP4)决定了视频信息如何存储。
2348 0
CISSP|CISA|SSCP| GSECK考题模拟网站
http://www.freepracticetests.org/quiz/home.php
643 0
+关注
云栖大讲堂
擅长前端领域,欢迎各位热爱前端的朋友加入我们( 钉钉群号:23351485)关注【前端那些事儿】云栖号,更多好文持续更新中!
3913
文章
1754
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载