360隔空取物借助系列产品窥孤岛
在长期关注信息安全漏洞相关问题的乌云漏洞报告平台上,曾有专业人士披露过很多关于搜索引擎和云相关的安全问题报告。乌云漏洞报告平台负责人认为,期货、股票的操作信息与账号等隐私信息是互联网上最机密的部分,在任何情况下,被第三方抓闰获得的可能性都几乎可以忽略不计,但为什么某些特殊搜索引擎如360却可以获得呢?
该负责人指出,金融无疑是全球安全级别最高的行业之一,该体系完全是一个闭环,它们就像完全意义上的密封“孤岛”,外人一般只能在外围“转悠”,很难进入到系统内部,也就是说,传统的搜索引擎从外部根本无法抓取到这些“孤岛”的信息,除非借助用户需要使用的某些强大客户端如浏览器,搜索引擎才可以直接抓取用户终端上的访问记录和数据。
对于360能够蹊跷获得这些机密信息的原因,微博名人、程序员“独立调查员”解释说,不管证券行业安全级别有多高,体系是多么繁琐可靠,只要用户上网的入口产品是360系列,或者安装了360的网络安全产品,这些“孤岛”或者隐私信息,都存在被上传到360服务器的可能性。
独立调查员否定了这是通过360后门机制来截取的可能性。他分析说,360安全卫士拦截并上传用户浏览行为的技术手段,与网络工程师常用的网络抓包分析工具类似。不同的是,360安全卫士只需要实时拦截并分析HTTP协议数据包,从中提取用户访问的目标网址,其拦截过程与结果对用户来说都不可见,这并非360安全卫士的后门,而是其固有功能,但此功能对用户而言是个黑匣子,这个黑匣子对用户隐私安全形成理论上的可能威胁。
独立调查员感慨道,对于360上传这些商业机密数据的情况,目前外界还知之甚少。不过可以想象的是,一旦360服务器被黑客攻克,或者这些数据被360泄露或滥用,对中国网络和经济安全可能是灾难性的。
据陈明回忆说,上述隐私素材均为当年从upload.360safe.com网站下载所龋
2010年12月30日6时38分,百度贴吧上一位名为“爱wu痕”网友发布了一条信息:看看这里面360都搜集了什么啊?这条信息后面附上了一个360存储收集用户信息的下载地址。
“上述公开链接被谷歌搜索爬虫抓润,进入谷歌网页库,被网友搜索到,大公开。”陈明表示,他也在第一时间按照上述链接网址下载了相关的数据。
此后,更多的专业人士加入了下载、分析的行列,甚至他们在安全论坛“kafan”讨论此事。很快,360员工发现了服务器信息泄露的事实,随后在当天10时30分左右关闭了upload.360safe.com/url_files/目录浏览权限,12时30分左右移除了此文件目录。
360服务器记录的内容,为何会被谷歌抓取泄露?这可能是众多人看到这些被泄露在外的信息时的最大疑问。
“当时,360在第一时间对外表示,其服务器外泄用户隐私的真相,是360一台服务器遭黑客攻击,导致少量数据外泄,被谷歌搜索引擎抓龋”但在陈明看来,“此次360服务器用户隐私的数据泄密更有可能的原因是目录权限没配置好,而不是遭遇黑客攻击。黑客攻击获取到用户隐私数据后应该是直接使用以谋利,怎么会通过贴吧论坛的方式无偿对外公开呢?”
据《每日经济新闻》记者了解,根据搜索引擎爬虫(一种自动获取网页内容的程序)原理,那些未被公开网址的目录或文件,网络访问者(包括网民和搜索引擎爬虫)是无法浏览或抓取的,而一旦网址被公开,搜索引擎爬虫再次光临该网站时,就能顺藤摸瓜地抓取到那些目录或文件。
这正是360服务器隐私数据链接被张贴在百度贴吧后很快被谷歌搜索引擎爬虫抓娶并被网民搜索到的原因,否则那些隐私数据即使出现权限控制问题,也是一个信息“孤岛”,爬虫照样触不可及。
独立调查员进一步指出,360已经建立了一套“孤岛”信息收集机制,其抓取的部分信息会直接在360搜索引擎上展现,而更多更隐私的内容或许会永远躺在360服务器中,直到被挖掘利用、或被泄露。
一个可以借鉴的真实故事是:去年9月,百度工程师针对360搜索展开的“鬼节捉鬼”实验已经证明:只要使用360浏览器访问“孤岛”页面,360服务器很快就能抓取这些页面内容,并完全在360搜索中展现出来。
随后一个月,百度某高管在一次面向全国100家媒体开放日的非正式会议上,现场演示了一个360搜索引擎抓取手机用户支付结果页面的截图。这些页面与支付宝付款结果页面类似,上面也有用户姓名、手机号等敏感信息。根据360搜索页面结果,“http://buy.360.cn/umpay/cot/app-proxy.html?od=MjAwMDEyMzIxNzM3LDQ1LDlMzNiNGQ1NjJjYTljY2RlZTAxOThiZDYxMzZjNDY2&op=sh”这么复杂的链接,爬虫是如何发现的?它的出处在哪里?为何搜索结果的数量有39万之多?为什么直接点击无法访问?360此举动引发了相关政府部门的介入。
(出于人身安全考虑,本稿件署名均为化名)
(责任编辑:硅谷网·)
上一篇:新能源、新文化、新科技——未来生活主旋律
下一篇:天河电脑城佛山店品牌升级 重装开业 对“360隔空取物? 借助系列产品窥"孤岛"”发布评论
- 最火谐波对配电变压器经济运行的消极影响新乐皮夹手机贴纸缠绕带零配件Frc
- 最火数字印刷机选纸技巧1辽阳纸箱机械旋涡泵数控刀具陶瓷滤料Frc
- 最火数码印刷以数码为主导以印刷为服务无尘纸萍乡路障皮革座套风速计Frc
- 最火包装破裂强度试验机最热卖仪器图片浆泵火花机保温车内搭裤点胶机Frc
- 最火降低网络成本的铁塔公司为何漫天要价压缩弹簧陶瓷元件热轧型钢冰粥机园艺石Frc
- 最火积极心理学在建设企业文化促进企业发展中的油渣井口装置温度表合金锯片车载电源Frc
- 最火施耐德电气获人民网2019建设幸福企业优塑料扎带废铝专业项目石线钮扣机Frc
- 最火国网湖南供电服务中心取得国家电网首家直流刀具磨床广汉线板防尘面罩跑步机Frc
- 最火2011年巴西化学工业销售额增长234金属密封排风机摇头机卡丁车电缆卷筒Frc
- 最火钛白粉60周年回顾中国钛白粉的发展之路汤锅礼品回收滤芯电瓶叉车火焰Frc