昨天是12月28日,北京的天氣特別冷。搶票第一天,動車&臥鋪失敗,候補一張普快坐票(先保個底)。沒想到下午“12306”又出事了。
消息傳出
下午朋友圈盛傳12306賬號泄露,看了下截圖,還是暗網的那一個站。想去一探究竟,于是就進去看了看。
數據真實性
首先試了試給出的賬號,第一個就登上了12306。闊怕!
由于數據量不大,有人猜測數據不是從12306官網上泄露的,可能是搶票軟件泄露的。
12月28日18:01,中國鐵路官方辟謠。
溯源
賣家還給出了高清圖片示例,用的是新浪圖床。好奇的我,有個想法——圖片反查。
> 圖片反查,根據圖片地址查詢圖片來源,從而找到發圖的人。
百度一下后,發現新浪圖床還真可以。V2EX 上好幾個帖子討論,還有人制作了瀏覽器插件。下面附一個油候腳本。
在 Chrome 商店下載了插件,試了試還真能找到圖片的來源。
于是我就找到了下面的這個微博賬號”xxx醬”。到這里了,我們就不深究了。已經從暗網走到了互聯網中,賣家身份敗露。
關于隱私的思考
暗網(深網)是匿名的、很難追蹤的,但要一絲痕跡不留是很難得。人性存在漏洞,有時候會為了方便而放棄安全,例如密碼的強度。這次的賣家就犯了這個錯誤,為了高清大圖,采用新浪圖床,導致信息泄露。
這樣看來,方便與安全似乎是對立,那又該如何平衡兩者呢?
關于暗網追蹤的思考
在暗網每個人都有自己的面紗,想要追蹤起來很難。首先可以從個人發布的內容追蹤,例如是否有姓名、電話號碼等信息,或直接與對方交談(社工)。也可以從側面追蹤,從發布的多媒數據本身進行追蹤,例如引用來自傳統互聯網的數據是否可用來反向定位用戶本身,如照片的 EXIF 信息、云存儲中的反向追蹤等。
建議
以上內容屬個人推測。未得到官方證實,純技術分享。溫馨提示:春運搶票不可避免,也許會用到第三方的搶票軟件。建議為 12306 設置一個特定的密碼,切忌不能使用個人常用的密碼。最好在搶票結束后,修改一次密碼。
參考
– https://github.com/fei-ke/WeiboImageReverse
– https://www.v2ex.com/t/388152