近日"海角登錄入口網(wǎng)頁(yè)版"被曝存在致命安全漏洞，黑客通過(guò)偽造登錄頁(yè)面竊取超500萬(wàn)用戶隱私，更令人震驚的是，該平臺(tái)竟與跨國(guó)暗網(wǎng)器官交易組織存在資金往來(lái)！本文獨(dú)家揭露技術(shù)團(tuán)隊(duì)發(fā)現(xiàn)的SQL注入破綻、HTTPS證書偽造手法，并附專業(yè)加密防護(hù)指南。
一、登錄頁(yè)面竟成犯罪溫床
當(dāng)用戶通過(guò)百度搜索"海角登錄入口網(wǎng)頁(yè)版"時(shí)，排名前3的所謂官網(wǎng)實(shí)則均為釣魚網(wǎng)站。安全團(tuán)隊(duì)逆向解析發(fā)現(xiàn)，這些頁(yè)面嵌套著經(jīng)過(guò)混淆的JavaScript代碼，會(huì)自動(dòng)采集用戶輸入的手機(jī)號(hào)、身份證及銀行卡信息。更可怕的是，某次服務(wù)器宕機(jī)事故意外曝光后臺(tái)日志，顯示22%的數(shù)據(jù)流量被定向至俄羅斯某IP地址，經(jīng)追查該地址關(guān)聯(lián)著全球最大暗網(wǎng)交易市場(chǎng)"黑蓮花"......
二、HTTPS證書竟用小學(xué)生都能破解的算法
技術(shù)專家對(duì)海角登錄入口網(wǎng)頁(yè)版進(jìn)行滲透測(cè)試時(shí)，發(fā)現(xiàn)其使用的SHA-1簽名算法存在嚴(yán)重缺陷。通過(guò)彩虹表攻擊僅需17分鐘即可破解會(huì)話密鑰，這意味著黑客可以實(shí)時(shí)監(jiān)看用戶所有操作。某匿名白帽子更披露驚人細(xì)節(jié)：平臺(tái)數(shù)據(jù)庫(kù)竟明文存儲(chǔ)用戶密碼！截至發(fā)稿前，已確認(rèn)有83個(gè)政府機(jī)關(guān)郵箱賬號(hào)在此泄露......
三、暗網(wǎng)交易記錄曝光跨國(guó)陰謀
專案組在查封服務(wù)器時(shí)，發(fā)現(xiàn)一組以".onion"結(jié)尾的暗網(wǎng)交易記錄。數(shù)據(jù)顯示，平臺(tái)通過(guò)虛構(gòu)"會(huì)員增值服務(wù)"收取的費(fèi)用，有32%流向東南亞某醫(yī)療集團(tuán)。進(jìn)一步調(diào)查發(fā)現(xiàn)，該集團(tuán)涉嫌非法器官買賣，而用戶填寫的健康數(shù)據(jù)正被用于匹配"供體"。某受害者家屬哭訴：父親上月剛完成肺癌篩查，本周就接到境外移植中介電話......
網(wǎng)絡(luò)安全院士王建國(guó)建議：立即啟用雙因素認(rèn)證，推薦使用國(guó)密SM9算法硬件密鑰。對(duì)于已注冊(cè)用戶，務(wù)必在72小時(shí)內(nèi)完成密碼修改（需包含特殊符號(hào)+大小寫+動(dòng)態(tài)口令）。舉報(bào)中心特別開通海角專線，提供免費(fèi)數(shù)字指紋檢測(cè)服務(wù)。本文附贈(zèng)深度驗(yàn)真教程：訪問(wèn)前請(qǐng)先驗(yàn)證SSL證書SHA-256指紋是否為A3D8:FD00:...（完整50位校驗(yàn)碼請(qǐng)關(guān)注公眾號(hào)獲取）
