来源：齐鲁日报（ID：qiluwanbao002）
记者：韩晓
接到莫名其妙的销售电话、邮件、QQ甚至财付通密码被盗……网络时代，我们的个人信息“裸奔”。
究竟是谁出卖了我们的信息？
齐鲁日报记者联合专业科技公司进行了一系列实验。
观点看法
01
输入一串乱码，轻松获取用户信息
我们每天晚上登录的网站和我们喜爱的应用程序是否存在信息泄露的风险？
技术人员对居民常用网站进行测试，发现某酒店官方网站存在安全漏洞。
“我们不会直接入侵酒店网站，但是我们可以模拟网站的漏洞环境，搭建一个类似的网站，导出大量的模拟用户信息。在这个实验环境下，看看用户信息是否存在风险在类似网站上泄露。”
工程师在模拟网站注册了会员，登录后开始寻找网站的逻辑漏洞。 找到可利用的漏洞后，工程师通过特殊技术搭建了一个查询对话框，在对话框中输入“王”字，26万余条徐姓会员信息就跳了出来。
工程师再次使用弱口令123456进行破解，现场提取了1000名季姓会员的信息，包括姓名、手机号码、身份证号码、积分、会员卡号等。 “我用比较常见的123456密码就获取了这么多人的信息，工程师们使用更多的中间攻击和破解技术后，获取了网站所有会员的数据，多达数十万。”
一些购物网站也未能幸免，工程师发现了一个存在安全风险的购物网站。 按照同样的方法，工程师搭建了一个一模一样的虚拟网站，输入十几行代码，半小时后成功获得虚拟网站的管理员权限。 “我变成了网站的管理员，登录后可以随意查看网上会员信息、产品订单、数据库备份等信息。”
在一款存在漏洞的手机App上，经过一番排查，工程师发现该漏洞主要存在于信息查询功能中。 在记者的见证下，工程师在模拟APP中输入“张敏”，查出了用户的地址、电话、身份证号码。 随即，工程师输入了一串乱码，APP内所有用户的地址、电话、身份证号都出现在屏幕上。
“这个乱码就是我们分析出来的程序漏洞，相当于有一把钥匙可以打开别人家的门，进去之后就可以听到所有的信息。这些漏洞存在于带有信息查询功能的对话框中，比如“在快递网站的首页，输入运单号就可以查到货运信息。如果货运网站存在这些逻辑漏洞，被黑客攻击后，大家的货运信息都会被窃取。” 工程师说道。
观点看法
02
测试了400个网站，60个存在重大漏洞
据报道，近日，Struts2被曝出高危漏洞，黑客可以利用该漏洞实现远程命令执行。 该漏洞引起了业界的广泛关注。
什么是Struts2？ “它相当于网站建设的框架，广泛应用于小型互联网公司、政府、金融机构等网站建设，只要是用这些框架搭建的网站都有这个漏洞。在我们检测的400个网站中，我们发现了这个漏洞。”经测试，不幸中招了60个网站。” 工程师介绍。
工程师发现该漏洞存在于某市政府的信息网络中，技术人员利用该漏洞成功获取了该网站的最高ROOT权限。 “这个权限就等于开发者的权限，如果黑客有了这个权限政府网站源码下载，他就可以为所欲为，他可以修改网站的网页数据，还可以下载所有的数据库。”
学校网站怎么样？ 工程师进行了安全测试，采集了243所高校官网数据，从业务安全、隐私安全、应用安全、主机安全、网络安全五个维度进行综合评分。 其中，80家机构评价为“良好”，103家机构评价为“一般”，60家机构评价为“较差”。
“可以直观地理解，通常的、质量较差的网站很容易受到攻击，从而给黑客提供了可乘之机。” 工程师说道。
在医疗网站分析中，68个网站中，56个网站评价为“良好”，8个网站评价为“一般”，4个网站评价为“差”。
“在实际攻击中，黑客在获取某个网站的个人密码后，还可以将该密码等个人信息带到其他网站进行‘崩溃数据库’分析，从多个网站获取信息，经过关联比对后，可以更详细地恢复个人信息。” 安云科技介绍。
观点看法
03
70%的信息泄露来自黑客攻击
近日，360互联网安全中心发布了《2016年中国网站安全漏洞状况分析报告》。 报告显示，2016年，360网站安全检查平台共扫描网站197.9万个，发现存在漏洞的网站91.7万个，占比46.3%，较2015年略有增加。
事实上，漏洞网站数量有所增加，但高危漏洞数量却大幅下降，这说明极少数网站存在大量高危漏洞。 网站高危漏洞激增，导致大量信息泄露。
上游黑客获取信息，下游信息贩子倒卖，个人信息走私已经形成产业链，类似的交易每天都在发生。 腾讯CEO马化腾援引公安部门数据表示，目前我国非法互联网从业人员超过150万，非法行业市场规模已达数千万元级别。
湖南省信息网络安全商会专家张超伦介绍，网络信息泄露的诱因不外乎两种政府网站源码下载，一是外部攻击，二是内部泄露。 “从信息泄露的概率来看，外部攻击占到了70%。对于外部攻击者来说，最重要的手段就是寻找并利用信息系统的漏洞。”
“知名互联网企业技术团队规模大、技术水平高，在个人信息保护方面做得很好。一些企业网站由于数据管理意识薄弱、数据库安全防护技术差，容易出现信息泄露的情况。” 张超伦说道。
张超伦认为，相关监管部门需要尽快规范企业网站的开发安全标准，并加强安全技术人员的培训。 “国家需要制定统一的标准，不符合标准的网站不能运营，要对照标准进行检测和整改。现在专业安全开发人员紧缺，需要推广相关专业的设置和人才培养。”
