世人的眼光盡被NSA的“百寶箱”吸引過去，人們驚訝地看到TAO的工具包堪比多啦A夢的口袋。然而，本人認(rèn)為，在本周更讓人感興趣的是社會化媒體的“淪陷”。

社會化媒體的“淪陷”

Snapchat的用戶信息泄露和微軟Skype Twitter賬號的被黑。

Snapchat 用戶信息被盜，黑客把460萬用戶的用戶名和手機(jī)號PO到了網(wǎng)上。這是黑客在圣誕期間獻(xiàn)給廣大互聯(lián)網(wǎng)用戶的一份“厚禮”。

這個事件在本周持續(xù)發(fā)酵。人們的疑問是：黑客到底是怎么得到的460萬的用戶信息。從Snapchat公司博客上紕漏的公告來看，是利用了“Find Friends”功能的脆弱性。

之所以沒有用漏洞而用脆弱性，個人認(rèn)為“Find Friends”很難稱之為漏洞。"Find Friends"類似很多社會化媒體軟件中通過手機(jī)“聯(lián)系人”列表(Address List)添加好友的功能。用戶可以上傳手機(jī)聯(lián)系人列表，Snapchat將聯(lián)系人列表中的手機(jī)號與庫中的登記用戶進(jìn)行比對，發(fā)現(xiàn)匹配則可以添加為好友。不難發(fā)現(xiàn)，通過聯(lián)系人列表添加好友的關(guān)鍵是電話號碼的匹配。

有問題嗎?有點(diǎn)問題。Snapchat如何確認(rèn)匹配的電話號碼就是上傳者的好友呢?

然而，就是這樣一個小“問題”都可能會黑客利用。理論上講，如果一個人上傳一個巨大的電話列表，大到包含所有可能存在的美國手機(jī)號，交給Snapchat來匹配，Snapchat就將返回所有使用美國手機(jī)號的Snapchatters。這就是Snapchat公司公布的、該安全事件背后的可能性。

有的朋友會說，這不就是“撞庫”嘛!有尼瑪什么技術(shù)含量?!不過，我想任何一個高超的黑客首先考慮的是實(shí)現(xiàn)什么目的，以及如何最方便的實(shí)現(xiàn)這個目的，而不會care這個技術(shù)手段有多么先進(jìn)和復(fù)雜。

不知道類似微信或微博客戶端中使用聯(lián)系人列表添加好友是否也采用了類似的機(jī)制。

Snapchat不是最近唯一落馬的社會化媒體應(yīng)用。還有Twitter。在本周，敘利亞電子軍(SEA)拿下微軟Skype的Twitter和博客賬號。SEA通過微軟Skype的Twitter賬號發(fā)布了警告，呼吁用戶不要使用微軟電子郵件(hotmail，outlook)。電子軍稱，微軟公司監(jiān)控其郵件系統(tǒng)，并將數(shù)據(jù)賣給美政府。

Twitter很好很強(qiáng)大，但是遇到很“黃”很暴力的SEA就像遇到自己的克星。SEA(敘利亞電子軍)不止一次地搞Twitter，不止一次地震驚安全界。不過，筆者認(rèn)為，問題不在Twitter，而是微軟自己的問題。筆者猜測此番SEA入侵Skype的Twitter賬號的手段與今年5月SEA拿下Onion 的Skype賬號沒有什么不同。

在5月份SEA攻擊Onion的事件中，SEA首先發(fā)送釣魚郵件給Onion的員工，結(jié)果只有一個中招。然后SEA再偽造該員工的郵件發(fā)送釣魚郵件獲得IT部門員工的回復(fù)。最后，借助Google APP的授權(quán)功能獲得了Onion 維護(hù)Skype人員的登錄賬號和密碼。然后，大家都知道，發(fā)生了類似微軟Skype的安全事件。

SEA是2013年眾多黑客組織中的一匹黑馬。個人認(rèn)為SEA的整體素質(zhì)和技術(shù)實(shí)力要在另一個伊斯蘭黑客組織Izz ad-Din al-Qassam Cyber Fighters(網(wǎng)絡(luò)戰(zhàn)士)之上。網(wǎng)絡(luò)戰(zhàn)士更多依靠DDoS攻擊。而SEA的武庫中，既有DDoS攻擊，又有漏洞利用、DNS劫持和魚叉式釣魚攻擊，非常豐富。

2014年，SEA，我看好你哦!

“傷不起”的游戲玩家

你玩哪個游戲，老子就攻擊哪個游戲。

“一支自動步槍指著我，他們給我戴上手銬，把我扔到警車的后座。我親眼看到6名警察進(jìn)入我的屋子里(搜查)。”然而，在Facebook上發(fā)布上述消息的人并非犯罪分子，事實(shí)上，他是一名被害者。

[[107492]]

他的網(wǎng)絡(luò)ID是Phantom l0rd，他是一名相當(dāng)專業(yè)的視頻發(fā)布者，他在Twitch上有35萬粉絲。

顯然，他冒犯了某些人。一個名叫“DERP”的黑客組織為了追殺Phantom l0rd，不惜向包括Battle.net和EA公司等多個游戲網(wǎng)站發(fā)起DDoS攻擊，并導(dǎo)致多個游戲/網(wǎng)站無法訪問。

攻擊的原則很簡單：Phantoml0rd玩什么游戲，DERP就攻擊哪個游戲。

[[107493]]

我們來看一下這些游戲/游戲公司的名單，相當(dāng)震精。

1) 英雄聯(lián)盟(League of Legends)

2) Dota 2

3) 企鵝俱樂部

4) Battle.net (包括戰(zhàn)地等游戲)

5) EA.com.(包括FIFA在內(nèi)，涉及PC，Xbox 360、Xbox One和前端商店等多個平臺)

太兇殘了!這不僅僅是要將Phantom l0rd趕盡殺絕，而且是在向全球的游戲玩家發(fā)起挑戰(zhàn)。

Okey，讓我們回到警方突襲Phantom l0rd住所前的幾個小時。當(dāng)時，警方接到一個報警電話，說某個地方發(fā)生了一起人質(zhì)劫持案。而那個地方，正是Phantom l0rd的住所。Well，現(xiàn)在你應(yīng)該知道怎么回事了。

傷不起啊!惹不起啊!

不過，Phantom l0rd，你丫也太墮落了!這么多游戲玩的過來嗎?也許逃離類似事情最好的方式是：永別互聯(lián)網(wǎng)絡(luò)。

TAO堪比多啦A夢口袋的“百寶箱”

只有你想不到的，沒有NSA辦不到的。

關(guān)于本周曝光的、TAO宛若多啦A夢口袋般“百寶箱”的事件，國內(nèi)外媒體報道很多。關(guān)于“百寶箱“里都有啥，哪些廠商中槍/躺槍，本文不再贅述。

[[107494]]

對于“百寶箱”事件，我想說三點(diǎn)：

1、只有你想不到的，沒有NSA辦不到的。真沒啥好震精的，習(xí)慣就好。

2、在天朝，以思科為首的外企將面臨更為嚴(yán)峻的商業(yè)環(huán)境。外企的冬天真的不遠(yuǎn)了?

3、“明鏡”將取代“華郵”和“衛(wèi)報”成為今后曝光的主要渠道。“華郵“躑躅，“衛(wèi)報”自身難保，而“明鏡”的異軍突起很難說背后是否有德國政府的支持。