本周，12306网站约13万用户邮箱、密码、姓名、身份证、手机等关键隐私信息被泄露，随即被指出可能为第三方抢票软件或撞库攻击，不过瑞星互联网攻防实验室提出了不一样的声音，经调查发现12306网站主域名下共有6个分站存在严重的Strust2框架的远程执行漏洞。
12月25日，12306网站被爆大量包括用户帐号、明文密码、身份证和邮箱在内的信息被售卖。目前，中国铁路官方微博发布声明称，铁路公安机关已抓获窃取他人电子信息的犯罪嫌疑人，这也意味着导致这次信息泄露并非12306自身遭攻击，也非由第三方抢票软件泄露信息。
昨天乌云的一个漏洞报告 大量12306用户数据在互联网疯传包括用户帐号、明文密码、身份证邮箱等（泄漏途径目前未知） 引起关注，但对一个还未公开细节的漏洞报告做解读其实是很不靠谱的行为。
今日爆出12306网站约13万用户邮箱、密码、姓名、身份证、手机等关键隐私信息被泄露，随即被指出可能为第三方抢票软件或撞库攻击，不过瑞星互联网攻防实验室提出了不一样的声音，经调查发现12306网站主域名下共有6个分站存在严重的Strust2框架的远程执行漏洞。
恰逢春运前，铁道部12306网站“13万用户数据泄露”“快去改密码！”“32G用户数据库下载”瞬间刷爆了网络。一时间很多猜测，很多言论，很多“谣言”，很多“真相”……它们充斥着我们的视线。
2014年12月25日上午10点59分，WOOYUN平台有某网友发表一篇题为《大量12306用户数据在互联网疯传包括用户帐号、明文密码、身份证邮箱等(泄漏途径目前未知)》的帖子，知道创宇第一时间验证了该消息的准确性，该批数据基本确认为黑客通过“撞库攻击”所获得。
昨天上午，第三方漏洞报告平台“乌云网”发布检测信息称，大量12306用户数据在互联网传播售卖，已知公开传播的数据库涉及用户数超过13万条，包括用户账号、明文密码、身份证、邮箱、信用卡信息、购买记录等。
12月25日，瑞星公司向广大网民发出紧急安全警报：12306网站(中国铁路客户服务中心)大量用户邮箱、密码、姓名、身份证、手机等关键隐私信息被泄露。目前，在网上遭泄露的用户信息约有13万条，瑞星安全专家提醒广大网民，此次被泄露的用户信息100%真实有效。
12月25日，乌云漏洞平台披露，大量12306用户数据在互联网上传播售卖。目前已知公开传播的数据库涉及用户数超过13万条，尚不清楚是否有更多用户数据泄露。360安全专家安扬提醒12306用户注意修改密码，避免已经订到的火车票被恶意退票。
针对互联网上出现“12306网站用户信息在互联网上疯传”的报道，12306发布声明称，经认真核查，此泄露信息全部含有用户的明文密码。我网站数据库所有用户密码均为多次加密的非明文转换码，网上泄露的用户信息系经其他网站或渠道流出。
2014年初，春运第一天12306被爆用户信息泄露漏洞，到年底，再次遭遇危机。
本周25日，12306网站约13万用户邮箱、密码、姓名、身份证、手机等关键隐私信息被泄露，随即被指出可能为第三方抢票软件或撞库攻击，不过瑞星互联网攻防实验室提出了不一样的声音，经调查发现12306网站主域名下共有6个分站存在严重的Strust2框架的远程执行漏洞。
“撞库攻击”说：
撞库是黑客无聊的“恶作剧”，黑客通过收集互联网已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户。
漏洞说：
12306网站主域名下共有6个分站存在严重的Strust2框架的远程执行漏洞，黑客可利用该漏洞控制分站服务器，进而攻击整个12306网站，并窃取所有数据库中的信息。
Struts 2是在struts和WebWork的技术基础上进行了合并的全新的框架。其全新的Struts 2的体系结构与Struts 1的体系结构的差别巨大。Struts 2以WebWork为核心，采用拦截器的机制来处理用户的请求，这样的设计也使得业务逻辑控制器能够与Servlet API完全脱离开，所以Struts 2可以理解为WebWork的更新产品.
京ICP证161336号 京公网安备 11010802021500号
