搜索

[11168] 2017-03-25_【事件预警】CNNVD有关58同城简历泄露事件的通报

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2017-03-25_【事件预警】CNNVD有关58同城简历泄露事件的通报 【 事 件 预 警 】 C N N V D 有 关 5 8 同 城 简 历 泄 露 事 件 的 通 报 F r e e B u f   2 0 1 7 - 0 3 - 2 5 以 下 文 章 来 源 于 C N N V D 安 全 动 态   ， 作 者 C N N V D 近 日 ， 互 联 网 上 出 现 大 量 爬 虫 软 件 ， 可 采 集 5 8 同 城 网 站 全 国 4 3 0 多 个 城 市 的 简 历 数 据 ， 包 括 “ 姓 名 、 手 机 号 、 求 职 方 向 、 年 龄 、 期 望 月 薪 、 工 作 经 验 、 居 住 地 、 学 历 、 用 户 I D 、 更 新 简 历 时 间 ” 等 ， 影 响 十 分 严 重 。 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 收 到 北 京 白 帽 汇 科 技 有 限 公 司 提 交 的 相 关 事 件 与 漏 洞 情 况 的 报 送 ， 并 对 此 进 行 了 跟 踪 分 析 ， 情 况 如 下 ： 一 、 一 、   事 件 概 述 事 件 概 述 今 晨 ， 多 家 新 闻 网 站 曝 出 “ 5 8 同 城 陷 数 据 泄 露 ： 7 0 0 元 可 采 集 网 站 全 国 简 历 信 息 ” ， 指 出 目 前 淘 宝 电 商 大 量 出 售 5 8 同 城 简 历 数 据 ， 并 出 售 爬 虫 软 件 ， 能 够 采 集 5 8 同 城 全 国 简 历 数 据 ， 以 及 5 8 本 地 商 户 信 息 、 汽 车 过 户 联 系 人 信 息 、 保 洁 公 司 信 息 、 租 房 联 系 人 信 息 等 多 类 信 息 。 自 2 0 1 6 年 初 开 始 ， 关 于 5 8 同 城 的 爬 虫 软 件 和 相 关 技 术 讨 论 不 断 涌 现 ， 如 今 已 成 规 模 。 利 用 这 些 工 具 ， 一 天 可 采 集 到 的 数 据 量 达 1 0 万 条 。 5 8 同 城 网 站 定 位 于 本 地 社 区 及 免 费 分 类 信 息 服 务 ， 据 中 国 电 子 商 务 研 究 中 心 ( 1 0 0 E C . C N ) 监 测 数 据 显 示 ， 5 8 同 城 月 独 立 用 户 近 3 亿 ， 所 以 此 次 全 国 范 围 内 的 简 历 数 据 泄 露 事 件 涉 及 了 大 量 用 户 的 个 人 信 息 ， 影 响 十 分 严 重 。 二 、 二 、   相 关 漏 洞 相 关 漏 洞 由 于 5 8 同 城 网 站 存 在 弱 加 密 等 设 计 缺 陷 ， 导 致 攻 击 者 可 通 过 访 问 该 网 站 的 某 些 数 据 查 询 接 口 ， 经 过 简 单 的 解 密 还 原 ， 获 取 并 关 联 用 户 关 键 信 息 ， 进 而 获 取 用 户 简 历 的 全 部 信 息 。 简 而 言 之 ， 攻 击 者 获 取 简 历 全 部 信 息 可 通 过 以 下 三 个 步 骤 ： 1 、 攻 击 者 通 过 某 移 动 端 接 口 获 取 部 分 简 历 信 息 （ 求 职 方 向 、 年 龄 、 期 望 月 薪 、 工 作 经 验 、 居 住 地 、 学 历 、 用 户 I D 、 更 新 简 历 时 间 等 内 容 ） 和 简 历 I D ； 2 、 攻 击 者 使 用 简 历 I D 通 过 另 一 个 接 口 获 取 用 户 的 真 实 姓 名 ； 3 、 攻 击 者 使 用 用 户 I D 通 过 另 一 个 网 站 页 面 获 取 用 户 的 电 话 号 码 。 通 过 用 户 I D 和 对 应 简 历 I D 将 三 部 分 信 息 关 联 ， 攻 击 者 就 可 以 获 得 最 完 整 的 用 户 简 历 信 息 ， 最 终 实 现 简 历 遍 历 的 目 的 。 “ 其 实 这 几 个 漏 洞 任 何 一 个 都 算 不 上 是 高 危 漏 洞 ， 甚 至 可 以 算 是 正 常 的 接 口 功 能 。 但 是 结 合 在 一 起 就 会 造 成 这 样 的 泄 露 。 ” 由 此 可 见 系 统 在 设 计 实 现 过 程 中 需 更 加 全 面 地 考 虑 安 全 性 。 三 、 三 、   安 全 建 议 安 全 建 议 C N N V D 安 全 动 态 安 全 动 态   . 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 是 中 国 信 息 安 全 测 评 中 心 为 切 实 履 行 漏 洞 分 析 和 风 险 评 估 的 职 能 ， 负 责 建 设 运 维 的 国 家 信 息 安 全 漏 洞 库 ， 为 我 国 信 息 安 全 保 障 提 供 基 础 服 务 。
建 议 受 影 响 的 用 户 及 时 将 个 人 简 历 及 相 关 信 息 下 线 ， 待 网 站 整 改 完 毕 后 重 新 上 传 。 招 聘 类 网 站 存 储 着 海 量 用 户 个 人 信 息 ， 面 临 巨 大 的 信 息 泄 露 风 险 。 针 对 此 类 安 全 事 件 ， C N N V D 建 议 此 类 信 息 平 台 应 建 立 隐 私 保 护 机 制 和 危 害 消 减 及 应 急 响 应 机 制 ， 从 技 术 和 制 度 两 方 面 加 强 对 用 户 个 人 信 息 的 保 护 ， 强 化 对 服 务 使 用 者 恶 意 行 为 的 监 督 和 跟 踪 ， 一 旦 发 现 恶 意 行 为 ， 及 时 进 行 处 置 和 消 控 ， 避 免 客 观 上 成 为 电 信 诈 骗 等 恶 意 行 为 的 推 手 。   本 通 报 由 C N N V D 技 术 支 撑 单 位 — — 北 京 白 帽 汇 科 技 有 限 公 司 提 供 支 持 。 C N N V D 将 继 续 跟 踪 上 述 事 件 的 相 关 情 况 ， 及 时 发 布 相 关 信 息 。 如 有 需 要 ， 可 与 C N N V D 联 系 。   联 系 方 式 :   c n n v d @ i t s e c . g o v . c n   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理