壹传媒早黑客入侵，百萬用戶資料洩露

    據香港網友爆料，31日15時左右，國際知名黑客網站“hackhound”、“hackthisite”、“evilzone”、等相繼有人爆出壹传媒安全漏洞，爆料人稱已攻破壹传媒后台，并称CloudFlare为壹传媒后台也有严重安全漏洞，同时，该网民泄漏了一部分攻破壹传媒得到的网民资料。
    
    鏈接：http://hackhound.org/forums/topic/6551-a-pleasant-pentestr-experience/
    
    http://www.hackthissite.org
    

观点：CloudFlare保护下的网络数据绝对不会外泄吗？

近日网络上多篇文章针对CloudFlare公司及其保护的Popvote网站安全问题提出不同观点，有的教授式告诉网友如何一步步入侵网站至个人信息泄露，有的推测式判断黑客无法成功解密。网络数据从终端到服务器，过程中泄露可能存在于终端环境是否安全可靠、数据传输线路是否被监听、数据存储是否安全这3个环节，一一分析，还是很多地方值得思考的。

云防火墙防护下的网络是否绝对安全？世上本就无“绝对”的事情，网络安全更没有任何人敢说绝对安全和绝不可能泄露。近期网络上有名“Jacky Chen”的黑客进行了证明，更加让我们相信安全并非完美。此前，有个更为典型的例子即12306全国铁路订票系统,采用的是国内最大CDN公司网宿科技提供CDN服务，即便如此，12306也因CDN方面问题被爆存在个人隐私泄露问题，详情可参考Wooyun漏洞提交平台的《12306 某接口CDN问题导致用户信息泄漏》。同样也是CDN技术，同样也是SSL加密，如果我们还仅仅停留在盲目相信CloudFlare防护下的Popvote是绝对安全的，那么当你下次参与各类投票时个人信息还是会被泄露的。

8月28日，国内著名安全专家方小顿（安全圈内代号“Xsser”）发出关于“CDN缓存攻击”的讨论帖，引发了国内众多安全专家的激烈讨论。从讨论中看出，CDN缓存技术在选择缓存内容时需要逻辑判断的，如果逻辑错误则将导致信息泄露，比如将A用户的缓存给了B用户则会出现漏洞，CDN缓存提升了网站抗打击能力的同时却将用户间的个人信息相互混乱了。国内就出现过12306网站也有网民可以订到昨天甚至十多天前的火车票的现象。或许听起来不可思议、啼笑皆非，但在黑客眼中，如果能主动利用漏洞则将导致非常大的安全问题，不断的重复模拟，不断的将B用户的信息碰撞读出，也许你就是下一个B用户！而在此次Popvote事件过程中，CloudFlare公司CDN技术保护下的Popvote投票过程正是使用了CDN缓存技术，或许黑客早已将讨论帖中的内容运用到实际渗透中，早已成功碰撞完所有数据，只是你不知道自己早已成为“B用户”罢了。

最近壹传媒主席黎智英更是在自己的杂志《壹周刊》发了一篇文章说“盗窃了我所有私人账目和文件是今年7月1日，黑客是以每秒1.43亿个查询攻陷我们服务器（我们服务器供应商CloudFlare是世界最大的供应商之一），将我们服务器攻破的同时窃取了我们所有文件资料，包括以上私人账目和文件”，看来这次黎智英都对CloudFlare公司的保护失望至极啊，一个活生生的例子。（注：此段无法理解为DDoS攻击引发了漏洞暴露，进而让黑客拿下网站及个人电脑的。）

许多人对数据经过SSL加密后的传输安全很放心，但www.crimeflare.com的一篇名为《CloudFlare's SSL SuspiciousSockets Layer》文中指出，“几乎所有通过CloudFlare访问HTTPS域名的人都不知道实际上仅有一半的路线是加密的。当他们看到自己屏幕上的挂锁（SSL图标）时，他们觉得一切都是安全的。这就是为什么网络钓鱼者喜欢CloudFlare的SSL。众多隐藏在CloudFlare背后，登记成隐私服务的域名很容易被网络犯罪者所利用。”，至此你还相信CloudFlare下的数据流通是安全的吗？还有一种可能更为可怕，那就是SSL证书也许早就掌握在黑客或者CloudFlare手里了，在那些我们看不到的CDN结点、CloudFlare公司内部“黑盒网络”里的数据早已赤裸裸的了。同时，我确实不明白为什么港大全民Popvote事件的证书是申请的甘地SSL证书，为什么又放弃了香港本地SSL证书，什么都用老外的，就这么崇洋媚外吗？

这篇文章还提及，CloudFlare公司作为一家互联网科技公司却热衷参与政治活动，如若观察其过去的种种劣行，你会发现CloudFlare早已臭名昭著，多次干预其他国家反对派的各类活动，为全球各类黑客进行SSL掩护成功“钓取”用户个人资料。当你以为引入了CloudFlare可以防止黑客的同时，其实你已经在引狼入室了，按CloudFlare的常规做法，每个网友在访问其保护的客户页面时都会被执行一段预先植入的JS脚本，访问的同时他们会给你植入一个Cookie并生成一个全球唯一的ID，用以标识你所使用的浏览器。

我们无法知道CloudFlare是否在跟踪你，我们只知道网友在访问CloudFlare托管站点时他们完全有能力立刻定位并开始追踪。这难道就是他们代理如此众多的狡诈网站的原因吗？其通过增加或提升统计数据资料来进行自我炒作，吸引新一轮的风险投资，或是从联邦调查局那里得到更多的黑色预算资金？港大全民Popvote事件为何放弃香港本地的CDN科技公司？为何这么多CDN公司中独独选了一个劣迹斑斑的公司呢？

数据安全的最后环节，也是黑客最容易下手的地方，那就是数据库。明报报道，华尔基利信息安全研究组织研究员认为哈希加密无法还原，质疑说“Hacker是通过估和碰来获取数据的，但如若数据已经被打散，则无法获取明文密码”。

其实，这个观点也是不准确的，一方面在国内最大程序员社区“CSDN”网站6000万用户数据被曝光之前我们没人相信竟然密码是明文存储的，陆续国内新浪476万用户数据、天涯社区4000万用户明文数据等等各大网站用户数据均被黑客曝光，让我们震惊大多网站均明文存储密码，你怎知港大Popvote事件又不是如此呢？我深表怀疑。

另一方面，加密是为了什么？加密就是为了解密，不然要一堆垃圾干什么？斯诺登公开的那些敏感信息难道没经过加密处理吗？最终不照样被暴露于公众，斯诺登多次公开承认数据加密大多就是为了解密。大家是否想过，8位纯数字的手机号码的MD5加密可以瞬间破解，有何安全可言？即使是身份证号码（字母+数字+字母或空）的所有组合，相信早已被黑客MD5加密后纳入彩虹表里，破解也早已不在话下了。所以，港大全民的哈希加密也不是无懈可击的，或许黑客在运用SQLMap之时已经带上解密脚本，也或者其早已破解只是现场还原罢了。

只是回顾前面的文章和这些分析我只会觉得这个Popvote事件是一场赤裸裸的“卖身”，是一只羊主动将自己送给一只臭名昭著的狼的活动。

香港“占中公投”疑出现重大信息安全事故

在不少港人开始怀疑由“占领中环”行动委托香港大学民意研究计划所展开网络模拟“全民投票”真实数目的当下，有更多专业人士开始怀疑，在公投系统无法得到安全保障的情况下，港大民研仍旧选择美国中情局背景的CloudFlare公司为“占中公投”系统护航，是否存在更多不可告人的秘密。

近日，香港商人施育瑧向《香港成报》投诉，并到湾仔警署报案，报称发现其身份证号码和手提电话被人盗用来参加“占中公投”，不满个人资料被人盗用为“占中”造势，踢爆由“占领中环”发起“占中公投”中，存在身份证及手机号码被泄露的重大漏洞。

就在稍早前，一篇名为《CloudFlare防护下的破绽：寻找真实IP的几条途径》的文章，以图文并茂方式“教授”读者如何入侵在“占中公投”黑客攻防战中担任“保卫战士”的美国CloudFlare公司。结合此次不少香港民众举报身份证等资料被盗用来公投投票等事宜，摧毁了CloudFlare公司“云安全”神话。

CloudFlare公司被IT界称之为美国中央情报局的网战先锋队，其业务一直甚具争议。据了解，该公司与中情局有业务关系，助其防御黑客入侵，但同时又替不少黑客组织甚至伊斯兰武装组织提供网络保护服务，背景相当耐人寻味。此次香港“占中公投”信息资料被盗用事件，让不少人怀疑何以世界主流的云安全公司提供防护会如此弱不禁风？还是背后隐藏巨大阴谋？

早在2003年，CloudFlare公司创始人马修·普林斯（MatthewPrince）与合伙人李·霍洛维（LeeHolloway）在芝加哥大学《法学院学报》上介绍一个主要用于追踪网络欺诈和网络侵害“蜜罐开源项目”。该项目允许任何人在他们的网站中安插一段CloudFlare代码来追踪黑客和垃圾邮件发送者。起先马修·普林斯并没有考虑太多，仅仅把该项目作为一项业余爱好来运营。2005年，在维也纳的一次会议上，马修·普林斯开始吹嘘他“与政府情报和执法部门之间的大量合作”。2008年，美国国土安全部专门至电马修·普林斯，钦佩其蜜罐技术拥有宝贵数据，拿着支票本要求马修·普林斯对合作保持沉默，这即是CloudFlare成立的初衷，而在开始之时它们就选择了与美国情报机构密切合作。

在“占中公投”中，港大民研总监锺庭耀对外发布“个人资料收集声明”所有收集的个人资料只用作是次活动的身分验证、防止重复投票。使用CloudFlare公司云安全防护，将所有以电子方式收集的个人数据会于传送时使用SSL进行加密，并会以不能还原的散列代码形式记录于服务器，以确保有关数据实际上无法被人破解和还原。

英国致力于互联网在线安全方面Netcraft公司披露“使用CloudFlare的SSL的网络钓鱼者”的报告显示，针对CloudFlare所提供SSL及类似安全服务，CloudFlare所有证书都有一个共同的名字和相同格式例如“ssl2796.CloudFlare.com”，它们都是由一家名为GlobalSign（成立于1996年，是一家牛X的CA中心和SSL数字证书提供商）的数字证书提供商所颁发的。证书名称中的“ssl2796”是CloudFlare所使用的一个追踪ID；在目前能找到的CloudFlare使用证书的36,677个域名中，追踪ID的范围在2002到7584之间。这些CloudFlare的证书只加密浏览器和CloudFlare之间的流量，除非Web服务器所有者拥有自己的证书安装在他的机器上，否则，真实的Web服务器和CloudFlare之间的流量仍然是未加密的。几乎所有通过CloudFlare访问https域名的人都不知道实际上仅有一半的路线是加密的。如果看到自己屏幕上的挂锁“ssl图示”时，你觉得一切都是安全的。这就是为什么网络钓鱼者喜欢CloudFlare的SSL。众多隐藏在CloudFlare背后，登记成隐私服务的域名很容易被网络犯罪者所利用。

一年前，斯诺登亦踢爆美国对香港实施网络监听丑闻，德国企业开始禁用美国云计算服务，俄罗斯亦封杀CloudFlare公司。

在“占中公投”正式开始投票前几日，港大民研自爆遭黑客攻击网站，戴耀廷亦曾亲口承认收到约10宗身份证疑被盗用的个案。在“占中公投”系统无法得到安全保障的情况下，港大民研依然选择美国中情局背景的CloudFlare公司为“占中公投”系统护航。有不少熟知其中利害关系的人士对此指责称，这实际上是出卖几十万香港人的个人私隐资料，港大民研与CloudFlare难辞其咎。香港市民不要被人卖了还帮人数钱。

个人资料隐私的保护属于经济发达的地区或国家的基本人权之一。一个人的身份信息被窃取，被冒用，就可能出现个人信息的多次“失窃”，带来各方面的损失。对于此次公投带来的质疑，已有越来越多的港人呼吁，香港个人资料私隐专员公署及香港警方应公开调查港大民研与CloudFlare有否触犯“香港法例”，涉嫌窃取香港市民个人隐私，以维护“香港法例”第486章个人资料（私隐）条例赋予香港市民的基本人权。

團體請願促查佔中投票疑洩資料

有團體到警察總部請願，質疑佔中行動六月舉行的全民投票，洩漏個人資料，促請警方徹查。

十多名網絡個人私隱關注組成員到警察總部請願。他們表示不明白為何有市民資料懷疑被盜，要求警方徹查事件，又認為今次事件反映投票結果不可信。

警方派人接收請願信後，請願人士由旅遊巴接載離開。

負責處理投票系統的港大民意研究較早前指，收集的個人資料已變成不能還原的散列函數，而且已經銷毀。

團體促查盜用投票資料

 【新報訊】「網絡個人私隱關注組」約20名成員昨午到灣仔警察總部外請願，要求警方立案調查，並跟進有關「6.22民間全民投票」中，有參與者的資料疑似被盜用、製造假公投結果的事件。

請願人士帶同多張標語和貼有相關新聞報道的紙牌到場，標語包括「盜私隱假公投，呃民意真無恥」、「要求警方嚴懲徹查」等，並高叫「假公投、盜私隱」等囗號。他們把請願信交予警方後離去。
關注組發言人梅少峰表示，香港是一個法治社會，希望警方儘快調查有關事件，以及為何有市民的個人資料會被盜用作投票之用，同時亦要求有港大民研交代投票系統有漏洞的原因。

http://www.hkdailynews.com.hk/NewsDetail/index/448666

團體請願促查佔中投票疑洩資料

【now新聞台】有團體到警察總部請願，質疑佔中行動六月舉行的全民投票，洩漏個人資料，促請警方徹查。

十多名網絡個人私隱關注組成員到警察總部請願。他們表示不明白為何有市民資料懷疑被盜，要求警方徹查事件，又認為今次事件反映投票結果不可信。

警方派人接收請願信後，請願人士由旅遊巴接載離開。

負責處理投票系統的港大民意研究較早前指，收集的個人資料已變成不能還原的散列函數，而且已經銷毀。

观点：CloudFlare保护下的网络数据绝对不会外泄吗？

近日网络上多篇文章针对CloudFlare公司及其保护的Popvote网站安全问题提出不同观点，有的教授式告诉网友如何一步步入侵网站至个人信息泄露，有的推测式判断黑客无法成功解密。网络数据从终端到服务器，过程中泄露可能存在于终端环境是否安全可靠、数据传输线路是否被监听、数据存储是否安全这3个环节，一一分析，还是很多地方值得思考的。

云防火墙防护下的网络是否绝对安全？世上本就无“绝对”的事情，网络安全更没有任何人敢说绝对安全和绝不可能泄露。近期网络上有名“Jacky Chen”的黑客进行了证明，更加让我们相信安全并非完美。此前，有个更为典型的例子即12306全国铁路订票系统,采用的是国内最大CDN公司网宿科技提供CDN服务，即便如此，12306也因CDN方面问题被爆存在个人隐私泄露问题，详情可参考Wooyun漏洞提交平台的《12306 某接口CDN问题导致用户信息泄漏》。同样也是CDN技术，同样也是SSL加密，如果我们还仅仅停留在盲目相信CloudFlare防护下的Popvote是绝对安全的，那么当你下次参与各类投票时个人信息还是会被泄露的。

8月28日，国内著名安全专家方小顿（安全圈内代号“Xsser”）发出关于“CDN缓存攻击”的讨论帖，引发了国内众多安全专家的激烈讨论。从讨论中看出，CDN缓存技术在选择缓存内容时需要逻辑判断的，如果逻辑错误则将导致信息泄露，比如将A用户的缓存给了B用户则会出现漏洞，CDN缓存提升了网站抗打击能力的同时却将用户间的个人信息相互混乱了。国内就出现过12306网站也有网民可以订到昨天甚至十多天前的火车票的现象。或许听起来不可思议、啼笑皆非，但在黑客眼中，如果能主动利用漏洞则将导致非常大的安全问题，不断的重复模拟，不断的将B用户的信息碰撞读出，也许你就是下一个B用户！而在此次Popvote事件过程中，CloudFlare公司CDN技术保护下的Popvote投票过程正是使用了CDN缓存技术，或许黑客早已将讨论帖中的内容运用到实际渗透中，早已成功碰撞完所有数据，只是你不知道自己早已成为“B用户”罢了。

最近壹传媒主席黎智英更是在自己的杂志《壹周刊》发了一篇文章说“盗窃了我所有私人账目和文件是今年7月1日，黑客是以每秒1.43亿个查询攻陷我们服务器（我们服务器供应商CloudFlare是世界最大的供应商之一），将我们服务器攻破的同时窃取了我们所有文件资料，包括以上私人账目和文件”，看来这次黎智英都对CloudFlare公司的保护失望至极啊，一个活生生的例子。（注：此段无法理解为DDoS攻击引发了漏洞暴露，进而让黑客拿下网站及个人电脑的。）

许多人对数据经过SSL加密后的传输安全很放心，但www.crimeflare.com的一篇名为《CloudFlare's SSL SuspiciousSockets Layer》文中指出，“几乎所有通过CloudFlare访问HTTPS域名的人都不知道实际上仅有一半的路线是加密的。当他们看到自己屏幕上的挂锁（SSL图标）时，他们觉得一切都是安全的。这就是为什么网络钓鱼者喜欢CloudFlare的SSL。众多隐藏在CloudFlare背后，登记成隐私服务的域名很容易被网络犯罪者所利用。”，至此你还相信CloudFlare下的数据流通是安全的吗？还有一种可能更为可怕，那就是SSL证书也许早就掌握在黑客或者CloudFlare手里了，在那些我们看不到的CDN结点、CloudFlare公司内部“黑盒网络”里的数据早已赤裸裸的了。同时，我确实不明白为什么港大全民Popvote事件的证书是申请的甘地SSL证书，为什么又放弃了香港本地SSL证书，什么都用老外的，就这么崇洋媚外吗？

这篇文章还提及，CloudFlare公司作为一家互联网科技公司却热衷参与政治活动，如若观察其过去的种种劣行，你会发现CloudFlare早已臭名昭著，多次干预其他国家反对派的各类活动，为全球各类黑客进行SSL掩护成功“钓取”用户个人资料。当你以为引入了CloudFlare可以防止黑客的同时，其实你已经在引狼入室了，按CloudFlare的常规做法，每个网友在访问其保护的客户页面时都会被执行一段预先植入的JS脚本，访问的同时他们会给你植入一个Cookie并生成一个全球唯一的ID，用以标识你所使用的浏览器。

我们无法知道CloudFlare是否在跟踪你，我们只知道网友在访问CloudFlare托管站点时他们完全有能力立刻定位并开始追踪。这难道就是他们代理如此众多的狡诈网站的原因吗？其通过增加或提升统计数据资料来进行自我炒作，吸引新一轮的风险投资，或是从联邦调查局那里得到更多的黑色预算资金？港大全民Popvote事件为何放弃香港本地的CDN科技公司？为何这么多CDN公司中独独选了一个劣迹斑斑的公司呢？

数据安全的最后环节，也是黑客最容易下手的地方，那就是数据库。明报报道，华尔基利信息安全研究组织研究员认为哈希加密无法还原，质疑说“Hacker是通过估和碰来获取数据的，但如若数据已经被打散，则无法获取明文密码”。

其实，这个观点也是不准确的，一方面在国内最大程序员社区“CSDN”网站6000万用户数据被曝光之前我们没人相信竟然密码是明文存储的，陆续国内新浪476万用户数据、天涯社区4000万用户明文数据等等各大网站用户数据均被黑客曝光，让我们震惊大多网站均明文存储密码，你怎知港大Popvote事件又不是如此呢？我深表怀疑。

另一方面，加密是为了什么？加密就是为了解密，不然要一堆垃圾干什么？斯诺登公开的那些敏感信息难道没经过加密处理吗？最终不照样被暴露于公众，斯诺登多次公开承认数据加密大多就是为了解密。大家是否想过，8位纯数字的手机号码的MD5加密可以瞬间破解，有何安全可言？即使是身份证号码（字母+数字+字母或空）的所有组合，相信早已被黑客MD5加密后纳入彩虹表里，破解也早已不在话下了。所以，港大全民的哈希加密也不是无懈可击的，或许黑客在运用SQLMap之时已经带上解密脚本，也或者其早已破解只是现场还原罢了。

只是回顾前面的文章和这些分析我只会觉得这个Popvote事件是一场赤裸裸的“卖身”，是一只羊主动将自己送给一只臭名昭著的狼的活动。

壹传媒早黑客入侵，百萬用戶資料洩露

 據香港網友爆料，31日15時左右，國際知名黑客網站“hackhound”、“hackthisite”、“evilzone”、等相繼有人爆出壹传媒安全漏洞，爆料人稱已攻破壹传媒后台，并称CloudFlare为壹传媒后台也有严重安全漏洞，同时，该网民泄漏了一部分攻破壹传媒得到的网民资料。
    
    鏈接：http://hackhound.org/forums/topic/6551-a-pleasant-pentestr-experience/