用户数据泄露一直是如今互联网世界的一个焦点，互联网上几乎每天都有个人信息或注册信息泄露的事件发生，而刚刚过去的315晚会也在历次的曝光中，频频提到社会上各种应用有意或者无意的都在泄露用户信息，服务商和黑客之间在用户数据这个舞台上一直在进行着旷日持久的攻防战。

对于大多数用户而言，撞库、拖库、洗库可能都是很专业的名词，但真正理解起来都很简单，撞库是黑客无聊的“恶作剧”，黑客通过收集互联网已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户。拖库“是指黑客入侵有价值的网络站点，把注册用户的资料数据库全部盗走的行为，因为谐音，也经常被称作“脱裤”，在取得大量的用户数据之后，黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现，这通常也被称作“洗库”。

那到底数据是如何泄露的呢？

那上文中提到的这些拖库、撞库等等是怎么发生的呢？单纯从技术角度上讲，黑客为了得到数据库的访问权限，取得用户数据，通常会从技术层面和社工层面两个方向入手。

技术方面大致分为如下几种：

• 远程下载数据库文件

这种拖库方式的利用主要是由于管理员缺乏安全意识，在做数据库备份或是为了方便数据转移，将数据库文件直接放到了Web目录下，而web目录是没有权限控制的，任何人都可以访问的；还有就是网站使用了一些开源程序，没有修改默认的数据库；其实黑客每天都会利用扫描工具对各大网站进行疯狂的扫描，如果你的备份的文件名落在黑客的字典里，就很容易被扫描到，从而被黑客下载到本地。

• 利用web应用漏洞

随着开源项目的成熟发展，各种web开源应用，开源开发框架的出现，很多初创的公司为了减少开发成本，都会直接引入了那些开源的应用，但却并不会关心其后续的安全性，而黑客们在知道目标代码后，却会对其进行深入的分析和研究，当高危的零日漏洞发现时，这些网站就会遭到拖库的危险。

• 利用web服务器漏洞

Web安全实际上是Web应用和Web服务器安全的结合体；而Web服务器的安全则是由Web容器和系统安全两部分组成，系统安全通常会通过外加防火墙和屏蔽对外服务端口进行处理，但Web容器却是必须对外开放，因此如果Web容器爆出漏洞的时候，网站也会遭到拖库的危险。

社工方面大概有如下几种：

• 水坑攻击

黑客会利用软件或系统漏洞，在特定的网站上进行挂马，如果网站管理员在维护系统的时候不小心访问到这些网站，在没有打补丁的前提下，就会被植入木马，也会引发后续的拖库风险。

• 邮件钓鱼

黑客会利用一些免杀的木马，并将其和一些管理员感兴趣的信息绑定，然后通过邮件发送给管理员，而当网站管理员下载运行后，也会导致服务器植入木马，引发后续的拖库风险。

• 社工管理员

对目标网站的管理员进行社会工程学手段，获取到一些敏感后台的用户名和密码。从而引发的后续拖库。

• XSS劫持

有时黑客也会为了获取某一些网站的帐号信息，他们会利用网站钓鱼的手段去欺骗用户主动输入，但这种方式只能获取部分帐号的真实信息，并没有入侵服务器。

由此可见，密码设置安全了，并不能保证不被泄露，因为黑客入侵在时时刻刻发生着，这样意味着你的账户信息在不确定的某一天已经流入到了黑客或是别人手中。虽说常情况下，这些数据库中的个人信息如，邮箱 电话 真实姓名 性别 等都是明文存储的。而密码通常经过MD5或其他方式加密之后存储。但黑客可以很轻易地把他需要的且是明文存储的数据从数据库中剥离出来。而对于那些加密之后的数据黑客也可以通过暴力破解，字典破解和彩虹表等方式进行明文还原。

我们可以注意以下几点来防止信息泄露：

一、谨防钓鱼网站不随意点击链接

二、慎连免费WiFi

三、及时清除旧手机电脑的数据信息

四、定时更换密码

五、提高安全意识，不随意注册、泄露敏感信息