刚看到这文章我就气不打一处来 你说优酷那操作 我专门去试了下 果然跟作者说的一样 登录页连个滑块验证都没有 我拿自己小号从德国节点登进去 它就跟没事人似的 连个邮件提醒都不发 这他妈是2024年该有的安全水平吗 我寻思着我家楼下便利店装个监控都知道有人进门响一声呢 优酷这体量 几亿用户 后台安全日志就这德行 不是我说 这玩意要是真被拖库了 人家黑客进来逛一圈 连脚印都不用擦 作者说撞库无解 这话对也不对 我去年就被撞过一次 那时候我在一个什么鬼游戏论坛注册过账号 用的跟邮箱一样的密码 结果有一天我发现我的steam钱包被人买了好几款俄罗斯区的便宜游戏 当时我还乐呢 觉得赚了 后来一查 尼玛那是人家拿我的号当肉鸡测试 顺带把我绑定的支付宝信息给捞走了 吓得我连夜把十几个平台的密码全改了 改到半夜三点 改到最后我都分不清哪个是哪个了 只能拿个本子记下来 对 就是那种最原始的纸质笔记本 现在还在我抽屉里锁着呢 说真的 大家老觉得密码管理软件麻烦 其实比被撞库强一万倍 不过话说回来 我倒是觉得作者有点太悲观了 网络安全这行 你说它差吧 确实差 前阵子我面了个安全岗位 对方开出的薪资比我2019年那会儿还低百分之二十 面试官还一脸傲娇说什么大环境不好 能给你offer就不错了 我当时差点没把咖啡泼他脸上 但你要说这行彻底完蛋了吧 也不至于 我认识几个搞攻防的兄弟 人家现在接私活 给那些小电商做渗透测试 一单就是两三万 还排队等着呢 问题不是行业不行 是那些只会喊口号的安全培训机构和只会做等保测评的混子把市场搞臭了 真正的技术活 永远有人愿意花钱 回到优酷这事 我就纳闷了 260亿条数据 这数字听着就离谱 国内网民撑死了也就十来个亿 合着人均被泄露二十多条是吧 这要不是把什么历史数据 重复数据 公开数据全算进去 那就是在虚张声势 我觉得吧 这种新闻看个乐呵就行 真正要担心的不是这种大数字 而是你手机里那些小app 什么手电筒啊 计算器啊 换个皮肤都要读取你通讯录的 那才是真黑洞 我有个朋友 下载了个壁纸软件 没俩月 他通讯录里所有人都收到了贷款广告 定位是精准到小区楼栋的那种 你说这玩意儿 优酷跟它比 那都算良心企业了 还有那句救救孩子吧 我看了真想笑 作者你一个安全老兵 天天说新人落地成盒 可你倒是教教人家怎么别落地就成盒啊 你文章里光说优酷不行 行业不行 培训班坑人 但你连个最基本的建议都没给 比如让新人先去搞搞src漏洞赏金 练练手 哪怕一个月挖个几百块的漏洞 也比报那种两万八的包就业班强 我表弟就是学这个的 去年非要报什么网络安全全栈班 我拦都拦不住 结果呢 学了一堆什么linux命令 什么sqlmap怎么用 到了面试现场 人家问他一个http请求头和响应头都有哪些字段 他当场愣住了 这东西你随便百度一下不就有了 但培训班就是不教 因为他们自己也不会 再一个我觉得优酷这事吧 说不定是它们自己搞的乌龙 你想啊 2024年都快过去了 每次一出这种数据泄露新闻 都是什么疑似 大概 或者一个什么cybernews网站查一下 那个网站我之前也用过 它那个数据库什么乱七八糟的都有 我拿我十年前注册的一个小破站账号去查 居然也显示泄露了 泄露你个头啊 那个小破站根本就没存过我的密码 后来我仔细一看 它那个所谓泄露 其实是把我那次在某论坛的密码给匹配上了 意思是你这个密码在别处用过 不代表这个网站就泄漏了 作者直接说优酷泄漏 这结论下得也太快了 至少得等你收到那个美国登录提醒邮件再锤吧 结果人家优酷压根不设这个功能 那就别怪别人乱猜了 不过有一点我特别同意作者 就是异地登录不提醒这事 真的太离谱了 现在随便一个不知名的小论坛 你从别的省登录都会给你发个短信 优酷这么大个平台 连个IP记录都没有 这已经不是安全意识薄弱的问题了 这是压根没把用户当回事 我干过几年运维 说实话 像这种大厂的登录日志 一般都会存个半年一年的 就算不主动提醒 技术后台肯定有记录 作者说安全中心查不到 那可能只是没给你这个普通用户看而已 但这更操蛋 你有记录你不提醒 那跟没有有什么区别 黑客撞库成功进来 他不改你密码 不搞你账号 就偷摸看看你下单记录 看看你收藏夹 你能发现个屁 等你发现的时候 人家早就拿着你的手机号去社工库匹配其他信息了 说到社工库 这才是最吓人的 我前年因为工作原因接触过一些黑产的东西 好家伙 那里面什么都有 你的姓名 身份证 手机号 家庭住址 甚至你平时点外卖爱吃什么 都能给你列出来 我当时试着搜了下自己的手机号 出来一堆关联信息 连我大学时候的宿舍楼号都有 我都不知道这玩意是怎么流出去的 后来想了想 可能是以前用校园网的时候 那些乱七八糟的登录页面收集的 所以你看 什么优酷 京东 这些大厂泄露 顶多就是账号密码 真正要命的是那些你看不见的小网站小app 它们把你卖了你还帮人数钱呢 作者拿优酷举例子 其实还是保守了 真要扒起来 国内这些互联网公司的数据保护 基本就是一层窗户纸 捅一下一个窟窿 再说回撞库这事 作者说大多数人在不同网站密码都一样 这话我信 我身边百分之九十的人都是这么干的 包括我爸妈 我跟他们说了多少次 密码不能用同一个 他们就是不听 我爸更绝 所有密码都是他名字拼音加个123 我说你这跟没设有什么区别 他老人家还振振有词 说这样好记 我真服了 后来我实在没办法 偷偷把他微信支付宝银行卡密码全给改了 然后用一个密码管理软件生成随机密码 存在手机里 他还嫌麻烦 说登录个淘宝还要打开另一个app复制密码 这不脱裤子放屁吗 结果没过两个月 他一个老同事的qq被盗 群发消息让他点链接 他差点就点进去了 从那以后他才老实 所以这事真的不能全怪网站 用户自己的安全意识也是个大坑 但话又说回来 网站要是指望用户个个都是密码专家 那要你们安全部门干嘛 我觉得作者其实想表达的是 国内互联网公司对安全这块的投入真的不够 这个我举双手赞成 你看那些大厂 每年财报上研发费用好多亿 但真正分给安全团队的有多少 我有个同学在某电商大厂做安全工程师 他说他们部门每年申请预算都跟要饭似的 买个渗透测试工具都得层层审批 反而市场部搞个什么双十一大屏 一砸就是几千万 你说这上哪说理去 平时不出事风平浪静 一出事就是几亿条数据泄露 然后公关出来发个声明 说已经报警 会配合调查 请用户放心 过俩月 大家就忘了 该用还用 下个双十一照样剁手 这就是为什么那些黑客敢这么肆无忌惮 因为成本太低了 被发现了大不了换个服务器继续搞 被抓的概率小得可怜 而且就算被抓 判个几年出来 技术还在 接着干 这买卖稳赚不赔 再说那个cybernews网站 我特意去翻了翻 它那个数据来源是什么暗网论坛上的一个帖子的截图 原文是俄语的 有人翻译过来说是什么2024年最大的泄漏 涉及多少多少亿条 但你仔细看那个截图 模糊得跟打了马赛克似的 数据格式也不统一 有的是邮箱+密码 有的是手机号+明文密码 还有的是用户名+哈希值 这明显是把好几个不同来源的数据硬凑到一起 然后取了个最大公约数 你看那些安全大v 一个个转发的比谁都欢 但真正出来证实这数据真实性的有几个 没有 全在那猜 在那分析 说白了 这就是流量密码 只要标题够吓人 哪怕内容漏洞百出 也能骗一波转发 不过我也能理解作者为啥这么激动 毕竟干这行的 天天看这些东西 难免有点风声鹤唳 我上次在某个群里看到有人说自己公司的数据库被删了 后来一查 是运维手滑把生产库当成测试库给truncate了 跟黑客半毛钱关系没有 所以很多所谓安全事件 其实就是内部人员操作失误 或者是旧系统没人维护 漏洞挂在那几年了 突然被扫描到 黑客也就顺手牵羊 你说他们多高明 也不见得 我见过最离谱的一次 是某公司服务器密码写在txt文件里 然后这个txt文件又被一个爬虫抓到了 直接公开在了github上 黑客连猜都不用猜 直接登进去把数据打包带走 你说这能怪谁 怪黑客吗 我看怪那个写txt的工程师 作者最后说前路迷茫 我想起我自己 以前也是搞安全的 后来受不了天天跟漏洞和傻逼领导打交道 转行去做开发了 但做开发也不省心 天天被产品经理追着改需求 熬得头发一把一把掉 有时候晚上躺床上想想 还不如回去搞安全 至少跟机器打交道 比跟人打交道省心多了 但转念一想 回去又能怎样 还不是继续看着那些烂事 大厂不重视 小厂没钱搞 用户不配合 政策跟不上 这行就这样了 不靠自己还能靠谁 我现在能做的就是把自己账号的密码管好 能开两步验证的都开上 什么短信验证码 什么authenticator 全弄上 虽然麻烦点 但总比哪天被撞库了再后悔强 至于那些刚入行的新人 我想说 别听那些培训班的 也别看这些劝退文 你如果真的喜欢技术 就老老实实从基础学起 什么协议啊 操作系统啊 网络原理啊 这些看着枯燥 但才是真正的地基 别一上来就想学什么黑客攻防 那是人家吃了几十年饭的人嚼过的馍 你咽不下去的 先找个正经工作干着 哪怕不是安全岗位 做个开发运维都行 边干边学 等你把业务弄明白了 再回头看安全 你会发现很多问题根本不用什么高深技术 就是业务逻辑的问题 这才是你值的钱的地方 哎 一不小心又说多了 反正就这事儿 我觉得大家还是别太恐慌 该改密码改密码 该开两步验证开两步验证 至于优酷 它要是真一点安全措施都没有 那它早晚得吃大亏 咱们就搬个小板凳看着呗 还有那个作者 虽然我同意你的观点 但你那个救救孩子吧喊得有点矫情 你一个老兵都这样 我们这些半吊子还活不活了 行了 就说这么多 我去看看我的京东账号有没有被那个什么260亿数据给扫到 虽然我里面只有两张优惠券 但那也是我的钱啊