京东数据库泄露事件分析 – 猪猪侠

原文地址:http://drops.wooyun.org/news/989

0x00 背景

昨天一张截图在QQ群里疯传，并说京东数据库泄露，里面有钱的尽快转。

有人问“我挨个试了一下，只有3个可以正常登陆，而且网上也并没有完整的数据库流出，所以我妄猜是否是支付宝或者是其他竞争对手的营销手段？”

这件事件到底是真的假的呢？经过我的研究，京东的数据库没有被脱裤，只是无聊黑客的恶作剧，他们通过收集互联网已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆京东网站后，拿出几个能够登陆的用户来说事！

0x01 细节

我们认真的研究了一下关于京东数据库泄露提及的几个QQ号，确定这次炒作使用的手法是企业 2013 年最高的 10 个信息安全威胁是哪些？提及的：

A2-互联网泄密事件/撞库攻击

以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，Adobe：1.5亿，Cupid Media：4200万，QQ数据库：大于6亿，福布斯：100万，接近9亿多条。

网上疯传的京东数据库泄露的截图：(全都是QQ邮箱，全都是明文密码？)