20170930 - 重要提示 - V2EX 在 2017 年 9 月 30 日正在遭遇一个密码碰撞攻击

[Livid]

目前我们正在确定受影响范围。

如果你的密码很久（好多年）没有改过的话，建议改一下。

如果你的账号遇到奇怪问题，可以联系 [email protected]

攻击者在过去两天的时间里动用了大约 600 台肉鸡。

目前为止大概有 1500 位用户的密码被碰撞成功。我们已经将所有怀疑被碰撞成功的用户的密码设置为失效。

有一些话写在这里，对这位黑客同学说，也是对自己说：

刚刚在整理受影响用户列表的时候，看到了一些以前熟悉的 ID，包括你测试登录的那位曾经在某音乐网站工作过的用户 ID。七年时间过去了，大家的生活都发生了很多变化。这个世界也发生了很多很大的变化。

谢谢你这两天所做的事情，这件事情从客观上帮助我找到了很多考虑不周，执行也不到位的地方。而更重要的是，谢谢你提醒我，让我能够有这样的一个被触动的思考过程，去找回七年前重启这个网站时的初心。

[RHFS]

所有用户还是个别用户

[aheadlead]

超长随机密码路过…

[chucongqing]

忘记密码的路过

[zuolan]

没有设置密码的路过。

[x86]

应该是个别用户

[graycreate]

开一下两步验证吧

[cevincheung]

两步验证的路过

[zjqzxc]

虽然是随机字符串密码，但还是改了，并顺带把二次验证开了

[maxjove]

这都不放过，这些人真无聊

[wuzhizhemu569]

马上改

[LosLord]

还以为明天要实名制了

[akwIX]

随意了，账号无价值

[fakeagent]

马上实名制了，盗号有啥用？

[ZenFX]

超长随机密码+两步验证的路过

[softgoto]

改了随机字符串，随便开了两步验证

[mohoumk2]

超长随机字符串的路过

[Rice]

超弱数字密码路过

[nijux]

随机密码路过

[yylzcom]

吓得我赶紧把密码改成了 1234567890qwer
应该够长了

[saran]

反正大号都关小黑屋了，无所谓啦~

[Tyler1989]

已改密码

[stebest]

还以为要实名制了

[kdwycz]

keepass 随机密码无所畏惧

[patx]

随机账号加上随机密码

[timothyye]

600 台肉鸡，这成本有点高啊

[timothyye]

估计这兄弟是铜币花完了吧，等不到明天了……

[moonsn]

不记得我设置过密码。。

[jpyl0423]

已改, 才发现密码和 163 邮箱同一个

[weyou]

我的应该碰撞成功了，这个密码很多年未改，并且和当年天涯，csdn 密码一致，但我不想改，v 站账号也就能看个帖子留个言嘛

[loserwn]

我小白一下，他要这些用户账户干嘛用？

[Livid]

@moonsn1994 使用 Google OAuth 登录的账号是一个随机密码，确实不需要设置。

[learnshare]

@loserwn 进一步攻击，比如填充垃圾信息之类的

[imn1]

@Livid 有些事情该做了
首先，我觉得个人信息的页面不应该任意访客可看

爆破 V2 没什么经济利益（应该是吧？），如果不是为了捣乱的话……
那么很可能就是为了那些登录或需要权限可看的东西，取证么？

[1O]

我还以为 V2 也受大环境影响了

[Trim21]

吓得我开了 2fa

[suffiboho6782]

随机帐号 随机密码 十分钟邮箱 过段时间重新注册 帐号没什么价值呀

[psirnull]

两步验证路过

[EchoChan]

这时候密码生成管理器的作用就体现了。

不怕，反正这网站密码独一无二。

[psirnull]

是要来 V 站发动水军，控制雨伦导向吗……

[yedashuai]

虽然是用 qq 邮箱注册的，但是，我用的是注册论坛专用密码~~毕竟那么多的论坛和第三方网站，谁知道哪个网站哪天会被脱裤呢~~~

[IamJ]

1password 生成的 32 位密码

[psirnull]

@yedashuai 开启两步验证

[trys1]

问一下大家，碰撞和穷举一样吗？

[cppgohan]

最近又有新裤子被脱了吗?

[0915240]

回去开两步

[fishingcat]

1password 好还是 lastpass 好？我就是来跑题的。

[TimePPT]

@trys1 撞库一般是拿市面上流出拖库账户密码对去试，这个假设是很多用户都是一个账户密码走天下不做账户隔离。
穷举就是……穷举，就是纯试，但一般会用常见若口令优先去试

[psirnull]

@trys1 碰撞使用的是现成已经脱裤的数据

[mdzz]

@imn1 不敢细想

[psirnull]

@loserwn
是要来 V 站发动水军，控制雨伦导向……

[frittle]

已改。

[21grams]

如何知道自己是不是被碰撞成功了？

[mfu]

撞库啊。1password 随便生成的 V 站专用密码，还不是太担心撞库。

[Chalice]

这么一提醒我才发现自己的密码弱爆了，赶紧改了个随机密码。

[rapperx2]

我的密码是 select*fromUser 哈哈

[dong3580]

@livid
还需要把被撞成功的 Cookies 也清掉吧？我记得 v2. Cookies 那个有效期是一个月

[shinwood]

已修改密码。

[vardarling]

超弱密码路过

[18279731314]

麻烦帮我的盗掉吧

[liuminghao233]

开了这么多肉鸡啥都没赚 血亏啊

[iluhcm]

1p 生成随机密码，连我自己都不知道密码是什么-，-

[torbrowserbridge]

我用 google 登录，密码是啥我自己都忘记了

[shuson]

1p 生成随机密码，连我自己都不知道密码是什么-，- +1

[hdbean]

站长最后的 append 是不是有什么故事?

[finalspeed]

我也以为要实名制了

[xtaxcy]

忘记密码的路过。。。

[leloext]

1password 换一个就好了，话说登录这里的密码是啥都不知道 -_-

[psirnull]

@hdbean 同样好奇

[scnace]

我自己都不知道我的密码是啥 XD

[whitepdd]

这么可怕吗。。

[lany]

V 站密码我若成狗

[chairuosen]

即使是简单密码，开了两步验证不用管吧？

[ruanmeibi]

随机密码情绪稳定

[loading]

已改

[kevin335200]

可以推一波 1password 和 lastpass 了 233
不过 1password 没法在 linux 用好头疼啊

[senni]

那么 他是为了什么

[vonsis]

password generator 随机密码

[opengps]

7 年前的 id 也别碰撞，这得是多老的黑客了

[hugee]

尝试几次错误就 ban ip 吧。

[yylzcom]

@kevin335200 #77 Linux 下用 Keepass 啊，23333

[coolcoffee]

1Password 用户表示不慌

[isnowify]

@Livid 我的密码有被碰撞吗。。。毕竟和好多网站都用的一样的密码

[xxhjkl]

吓得我赶紧改了个密码

[kewinbolt]

lastpass 的随机密码 连我自己都不知道是啥 随便撞去吧 况且连用户名都独一无二

[mozutaba]

这里密码有什么用？都是公开的

[goodryb]

所以修改密码和开启两步验证在哪里操作？

[jayzjj000]

竟然已经 7 年了

[hagha]

密码自己已经记不得了

[mingyun]

我上周刚改密码

[gzadamlv]

必须要密码，Google 自动登录

[wanhuiming]

仔细一看，我这号价值不大。

[Nathanzheng]

怎么知道自己的密码泄露了没

[LCD]

改了怕不熟忘记

[vtoexshan]

又加长了 6 位，能顶用吗？

[a719031256]

话说就不能实现双账号更替登陆么？
就是用户名和密码被破解了后就关闭用户名登陆这项功能，改用邮箱或发送给邮箱一个临时乱码用户名登陆

[geew]

不知道破解 v2 的密码有啥用....闲得无聊么

[xueb96]

@geew #98 如果你其他地方的账号密码也是这个...

[woshinide300yuan]

感觉 V2 最不应该的是搜索引擎可以抓主题和回复。应该给设置选项关闭这个功能。 @Livid