难道被暴库的都是Windows服务器？

[haohaolee]

有感于CSDN的robin fan说Windows服务器不安全。

所以说啊，说到底安全环节中最重要的因素还是人，没有基本安全意识的程序员和运维人员，用什么架构都是白搭。

Web开发越来越火热的今天，是不是也应该增强安全编程，安全维护服务器的学习呢？

因此不妨讨论讨论这方面的话题，比如，暴库是用的什么攻击手段，以及常见的web攻击手段和对抗策略有哪些？ 再比如，国内有名的安全社区有哪些，研究安全技术的blog有哪些？

[Air_Mu]

不是吧，那么大的社区居然是用WINDOWS服务器？

[areless]

人人不是WINDOWS啊 = =

[haohaolee]

不好意思楼上的，我有点标题党。话题其实和 Windows 无关

[siemensnokia]

应该说被暴库99.9%都是国内网站。为什么有些网站不用明文保存的也被暴？网上有种说法是内部自己暴的，因为众所周知的中国特色，中间环节可能除了问题

[9hills]

@Air_Mu 曾经是，robbin说后来因为windows不安全就换linux+mysql了。
这次密码泄露是10年泄露的

[rfwert343]

@siemensnokia 国内用windows的多

[haohaolee]

@siemensnokia 这一波我倒觉得是故意集中曝出来的，数据库可能私下流传很久了

[milel]

用windows能体现的更多是人员的技术素养，以及技术生态

[yy77]

这次被暴和是不是用windows无关吧。把密码明文或者只有简单加密存在数据库的表里，本身就是当初程序写得不够健壮。
mysql写成那样也容易被人暴。

[rfwert343]

@yy77 如果都是国内网站，背后的原因可能会很可怕。你懂得。

[samuel]

有没有可能是有人在搞数据的买卖？邮件列表可以卖，那密码自然也可以卖喽

[haohaolee]

https://blog.delphij.net/2011/12/post-608.html

[liuers]

国内普遍都缺乏安全意识,而且网络安全这块是一个很高端的领域,一般的技术人员也没地可学.
五六年前就是灰鸽子上兴啊D流光NBSI什么的,五六年后一看还是那些东西... 真正的大牛都混在国外吧大概.

[liuers]

对于web的攻击起先都是利用其自身漏洞开始的,往往都是内容过滤不严格什么的,就算系统再安全也没用,因为攻击本身属于合法请求.只有在前者无法奏效时才考虑直接入侵服务器,但那样难度会非常大,即使是windows系统除非自己发现0day或该服务器上某软件或服务器的漏洞(如ftp)否则也不是那么好进的.

[willerce]

关 windows P事。

[kojp]

怎么就没有人往这两方面想呢 :

A, 2012
B, gov

[sjolzy]

@haohaolee 在黑市里传久了，被卖来卖去，没啥价值了才流出来。

[kojp]

一个 ,再 NB的"内部 "黑客 , 应该不可能在那些大公司都上过班吧 ? 一个 ,再 NB的 "外部 "黑客 , 真的难绕过重重软硬件防火墙 ,轻而易举拿走那么多的数据库.而且不被发现 ? --------------- 我觉得这是一次 ,有组织 ,有预谋的坑爹事件 ,为了即将有事情要发生 ;或者 ,已经有事情发生了 .或者是为了防止某些事情发生 ; ------------------再滑机一些的自嘲就是 ,黑客 ,这些年钱赚美了 ,已经肉身翻墙 ,或者拿 到船票上船了 ....良心发现 ,让你们知道一些内幕 ....

[ahxsong]

@sjolzy 这个恐怖

[bigdude]

用windows做服务器最有价值的网站就是京东了，求京东用户库

[ericcong]

怀疑是gov强制要求网站开出的明文密码列表，阴谋论了见笑

[myrual]

@haohaolee delphij还在bsd界啊。

[haohaolee]

@myrual 他一直都是committer啊

[txlty]

暴库手段：Copy to 移动硬盘~

[delectate]

@liuers 还有经典弱口令'or''='，多少年了还是那点东西。国内两极分化严重，牛的研究溢出驱动级后门，弱的灰鸽子都不会。
@bigdude 记得godaddy也是吧……

[kuailewubi]

不要怪windows服务器，用什么服务器明文存储密码都很扯淡。