如果加salt加密感觉得到也没大用
看了大家的回答，有回答淘宝可能会被拖库，淘宝最不可能，下面说一些个人看法：&br&&p&&b&安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里&/b&&br&&/p&&br&&p&从阿里集团的业务来看，他们整个的业务线已经拉得太长太长，以至于网络边界遍布全世界的各个机房，可想而知一定会出现大公司通病，各种业务系统间的复杂调用。&/p&&br&&p&所以他们的基础架构、网络架构势必很难偏向于安全，更多的会为系统的易用性让步！&/p&&br&&p&业务线长、网络边界广、业务系统间复杂调用，导致随便一个弱口令的就能突破阿里集团的边界，轻松的接触到核心业务系统。&/p&&br&&p&可能你们会说 # 无细节无证明，我贴两个简单的案例：&/p&&ul&&li&&b&企业内部重要资料/文档外泄&/b&&/li&&/ul&引用：&a href=&/question//answer/& class=&internal&&企业 2013 年最高的 10 个信息安全威胁是哪些？&/a& 和知乎的github泄露源码如出一辙。&br&&img src=&/a86aa320ef91c0c258ea9f88dba07989_b.jpg& data-rawwidth=&908& data-rawheight=&952& class=&origin_image zh-lightbox-thumb& width=&908& data-original=&/a86aa320ef91c0c258ea9f88dba07989_r.jpg&&&br&你只需要去搜索引擎搜索 &a href=&///?target=http%3A//admin.taobao.net& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&admin.taobao.net&/span&&span class=&invisible&&&/span&&i class=&icon-external&&&/i&&/a&、&a href=&///?target=http%3A//admin.taobao.org& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&admin.taobao.org&/span&&span class=&invisible&&&/span&&i class=&icon-external&&&/i&&/a&，就能找出各种逆天的信息泄露，&u&后台地址、后台登陆信息、以及各种数据库密码&/u&。&br&&br&&img src=&/17b48b98ce16c832d3535e7_b.jpg& data-rawwidth=&818& data-rawheight=&678& class=&origin_image zh-lightbox-thumb& width=&818& data-original=&/17b48b98ce16c832d3535e7_r.jpg&&&br&&img src=&/ef06cdd36b7b2abc4da3_b.jpg& data-rawwidth=&1089& data-rawheight=&952& class=&origin_image zh-lightbox-thumb& width=&1089& data-original=&/ef06cdd36b7b2abc4da3_r.jpg&&&br&&p&这里这作为一个案列来阐述，不细讲了。&/p&&ul&&li&&b&实际经历 (线下已经和阿里集团的人做过交流，相关漏洞他们已经修补)&/b&&/li&&/ul&本人以前顽皮的时候，弄了个扫描器，把自己的测试经验做成了扫描策略，一开扫，你们猜怎么着？&br&10分钟不到，就突破了阿里集团的边界，进入浩瀚的内网！(你们会觉得我吹牛？那就贴点东西)&br&&br&当时应该是直接获取到了淘宝的开发服务器权限，看到数据库连接配置在Jboss的/ds目录下&br&&br&&div class=&highlight&&&pre&&code class=&language-sql&&&span class=&o&&#&/span& &span class=&err&&实际开发环境的数据弱口令到你膛目结舌&/span&
&span class=&n&&dev&/span&&span class=&o&&-&/span&&span class=&n&&db&/span&&span class=&p&&.&/span&&span class=&n&&db&/span&&span class=&p&&.&/span&&span class=&n&&taobao&/span&&span class=&p&&.&/span&&span class=&n&&net&/span&
&span class=&n&&db_user&/span&&span class=&p&&:&/span& &span class=&n&&taobao&/span&
&span class=&n&&db_pass&/span&&span class=&p&&:&/span& &span class=&n&&taobao&/span&
&span class=&n&&dev&/span&&span class=&o&&-&/span&&span class=&n&&db&/span&&span class=&p&&.&/span&&span class=&n&&db2&/span&&span class=&p&&.&/span&&span class=&n&&taobao&/span&&span class=&p&&.&/span&&span class=&n&&net&/span&
&span class=&n&&db_user&/span&&span class=&p&&:&/span& &span class=&n&&tbshop&/span&
&span class=&n&&db_pass&/span&&span class=&p&&:&/span& &span class=&n&&tbshop&/span&
&/code&&/pre&&/div&&br&读开发服务器里面的真实源代码，看官们觉得根据源代码找出能利用的漏洞的几率有多大？&br&&br&&b&结束语：&/b&&br&有时候，安全不在于你们有多少牛逼的工程师，而在于公司决策层对于安全的重视程度和态度！&br&&br&# 日补充，曾经测试的时候，不小心到了&a href=&///?target=http%3A//& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://&/span&&span class=&visible&&&/span&&span class=&invisible&&&/span&&i class=&icon-external&&&/i&&/a&主站WEB目录下执行了个tree命令 &a href=&///?target=http%3A///go/app/& class=& external& target=&_blank& rel=&nofollow noreferrer&&&span class=&invisible&&http://www.&/span&&span class=&visible&&/go/app/&/span&&span class=&invisible&&&/span&&i class=&icon-external&&&/i&&/a& 目录下：&br&&img src=&/0b3e83bab5d1aacd61bd1_b.jpg& data-rawwidth=&765& data-rawheight=&388& class=&origin_image zh-lightbox-thumb& width=&765& data-original=&/0b3e83bab5d1aacd61bd1_r.jpg&&&br&&div class=&highlight&&&pre&&code class=&language-text&&tree
|-- alipay
|-- promo_include.php
`-- promo_temp.php
|-- assistant
`-- download.php
|-- busy.html
`-- exchange-close-login.php
|-- data_college
|-- base.php
`-- base_js.php
|-- global
|-- footer-ext.php
`-- header-ext.php
`-- d.html
`-- noresult.php
|-- huabao
`-- bbsimage.php
|-- instant
|-- config.js
`-- config.php
`-- video.php
|-- kan2012
`-- grid.php
`-- banner.php
`-- loading-data.php
`-- fashion
`-- index.php
`-- pidrefresh.php
|-- poster
|-- global-detail.vm
|-- global-listtag.vm
|-- json-detail.vm
|-- juandou-simple.vm
|-- poster-template-1.vm
|-- poster-template-11.vm
|-- poster-template-99.php
|-- taoke-detail.vm
|-- test-detail.php
|-- test-detail.vm
|-- test-test.vm
|-- test.vm
|-- test_test.vm
|-- tmall-detail.vm
`-- tmall-listtag.vm
`-- timestamp.php
`-- liuyanban2.php
|-- smartnav
`-- father.properties
|-- taobaoke
`-- test1.php
|-- beautifychannelhor.php
`-- beautifychannelver.php
|-- tbk_app
|-- chongzhi_210_200.php
|-- chongzhi_210_220.php
|-- chongzhi_210_30.php
|-- chongzhi_300_170.php
|-- chongzhi_300_170_test.php
|-- chongzhi_950_30.php
|-- chongzhi_950_30_nologo.php
`-- chongzhi_950_36.php
|-- 201112nyfz.php
|-- asdasdas.php
`-- indexdata.php
|-- copyassets.php
|-- footerjs.php
|-- header.php
|-- jquery152minjs.php
|-- pppp.php
|-- sharejs.php
|-- sitenav.php
|-- sitenavjs.php
|-- special
`-- public.php
|-- static
`-- style.php
|-- city2.php
|-- focusbox.php
|-- sharebar.php
|-- sitenav.php
|-- special.php
`-- style.php
|-- headerfooter.php
|-- jcarousellite.php
|-- jquery.php
|-- share.php
|-- sitenav.php
|-- supersleight.php
`-- tinyslider.php
|-- style.php
|-- topheaderjs.php
|-- zytbtxfooterad.php
|-- zytbtxfooterad2.php
`-- zytbtxfooterad3.php
|-- tairtest.php
`-- test4444.php
|-- chaoshi
|-- footer-desc.php
`-- rgn.php
`-- pcart-t.php
|-- login-api.php
|-- login-api2.php
|-- login-api2.php.php
|-- login-is-api.php
`-- login-is-login.php
`-- learn.php
`-- xdomain
`-- login-status.php
&/code&&/pre&&/div&
看了大家的回答，有回答淘宝可能会被拖库，淘宝最不可能，下面说一些个人看法： 安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里 从阿里集团的业务来看，他们整个的业务线已经拉得太长太长，以至于网络边界遍布全世界的各个…
1. 阿里有大牛，能减少系统漏洞，及时修复，但不能保证无漏洞。&br&2. 拖库不一定要全部导出&br&3. 拿不到明文密码，邮箱和手机号也可以卖钱
1. 阿里有大牛，能减少系统漏洞，及时修复，但不能保证无漏洞。 2. 拖库不一定要全部导出 3. 拿不到明文密码，邮箱和手机号也可以卖钱
已有帐号？
无法登录？
社交帐号登录2013 年 7 月，淘宝数据库被拖是真的吗？
看了大家的回答，有回答淘宝可能会被拖库，淘宝最不可能，下面说一些个人看法：安全是一个整体，保证安全不在于强大的地方有多强大，而在于真正薄弱的地方在哪里从阿里集团的业务来看，他们整个的业务线已经拉得太长太长，以至于网络边界遍布全世界的各个机房，可想而知一定会出现大公司通病，各种业务系统间的复杂调用。所以他们的基础架构、网络架构势必很难偏向于安全，更多的会为系统的易用性让步！业务线长、网络边界广、业务系统间复杂调用，导致随便一个弱口令的就能突破阿里集团的边界，轻松的接触到核心业务系统。可能你们会说 # 无细节无证明，我贴两个简单的案例：企业内部重要资料/文档外泄引用： 和知乎的github泄露源码如出一辙。你只需要去搜索引擎搜索 、，就能找出各种逆天的信息泄露，后台地址、后台登陆信息、以及各种数据库密码。这里这作为一个案列来阐述，不细讲了。实际经历 (线下已经和阿里集团的人做过交流，相关漏洞他们已经修补)本人以前顽皮的时候，弄了个扫描器，把自己的测试经验做成了扫描策略，一开扫，你们猜怎么着？10分钟不到，就突破了阿里集团的边界，进入浩瀚的内网！(你们会觉得我吹牛？那就贴点东西)当时应该是直接获取到了淘宝的开发服务器权限，看到数据库连接配置在Jboss的/ds目录下# 实际开发环境的数据弱口令到你膛目结舌
dev-db.db.taobao.net
db_user: taobao
db_pass: taobao
dev-db.db2.taobao.net
db_user: tbshop
db_pass: tbshop
读开发服务器里面的真实源代码，看官们觉得根据源代码找出能利用的漏洞的几率有多大？结束语：有时候，安全不在于你们有多少牛逼的工程师，而在于公司决策层对于安全的重视程度和态度！# 日补充，曾经测试的时候，不小心到了主站WEB目录下执行了个tree命令
目录下：tree
|-- alipay
|-- promo_include.php
`-- promo_temp.php
|-- assistant
`-- download.php
|-- busy.html
`-- exchange-close-login.php
|-- data_college
|-- base.php
`-- base_js.php
|-- global
|-- footer-ext.php
`-- header-ext.php
`-- d.html
`-- noresult.php
|-- huabao
`-- bbsimage.php
|-- instant
|-- config.js
`-- config.php
`-- video.php
|-- kan2012
`-- grid.php
`-- banner.php
`-- loading-data.php
`-- fashion
`-- index.php
`-- pidrefresh.php
|-- poster
|-- global-detail.vm
|-- global-listtag.vm
|-- json-detail.vm
|-- juandou-simple.vm
|-- poster-template-1.vm
|-- poster-template-11.vm
|-- poster-template-99.php
|-- taoke-detail.vm
|-- test-detail.php
|-- test-detail.vm
|-- test-test.vm
|-- test.vm
|-- test_test.vm
|-- tmall-detail.vm
`-- tmall-listtag.vm
`-- timestamp.php
`-- liuyanban2.php
|-- smartnav
`-- father.properties
|-- taobaoke
`-- test1.php
|-- beautifychannelhor.php
`-- beautifychannelver.php
|-- tbk_app
|-- chongzhi_210_200.php
|-- chongzhi_210_220.php
|-- chongzhi_210_30.php
|-- chongzhi_300_170.php
|-- chongzhi_300_170_test.php
|-- chongzhi_950_30.php
|-- chongzhi_950_30_nologo.php
`-- chongzhi_950_36.php
|-- 201112nyfz.php
|-- asdasdas.php
`-- indexdata.php
|-- copyassets.php
|-- footerjs.php
|-- header.php
|-- jquery152minjs.php
|-- pppp.php
|-- sharejs.php
|-- sitenav.php
|-- sitenavjs.php
|-- special
`-- public.php
|-- static
`-- style.php
|-- city2.php
|-- focusbox.php
|-- sharebar.php
|-- sitenav.php
|-- special.php
`-- style.php
|-- headerfooter.php
|-- jcarousellite.php
|-- jquery.php
|-- share.php
|-- sitenav.php
|-- supersleight.php
`-- tinyslider.php
|-- style.php
|-- topheaderjs.php
|-- zytbtxfooterad.php
|-- zytbtxfooterad2.php
`-- zytbtxfooterad3.php
|-- tairtest.php
`-- test4444.php
|-- chaoshi
|-- footer-desc.php
`-- rgn.php
`-- pcart-t.php
|-- login-api.php
|-- login-api2.php
|-- login-api2.php.php
|-- login-is-api.php
`-- login-is-login.php
`-- learn.php
`-- xdomain
`-- login-status.php
1. 阿里有大牛，能减少系统漏洞，及时修复，但不能保证无漏洞。2. 拖库不一定要全部导出3. 拿不到明文密码，邮箱和手机号也可以卖钱
我觉得是不太可能的第一，KXLZX（阿里的JAVA安全专家周拓）早就有提过这个漏洞，但是淘宝内部种种问题导致某些分站没有修复（FreeBuf上有报道），阿里内部早就知道有这个s2-016存在。第二，淘宝的数据库是TB级（不排除有可能上到PB）的，拖库的话首先需要一个大带宽和存储他的服务器，不然拿回来的东西都放到那里？投入不说，技术上需要搭建这么符合需求一个服务器集群需要多久？除非你有一套现成的服务器集群+系统来存储大数据第三，淘宝的用户名密码肯定不会只是简单的MD5，首先要符合几条原则（说的可能不太全，捡重点的说，实际情况会比这复杂的多）1 可以验证2 有RandomString,动态的salt3 同密码的hash值不同（防止被字典攻击或者破解）这样，即使出现最可怕的情况，全库被拖，也能保证数据安全，没法知道明文密码。第四，出现漏洞的是淘宝的一个分站，主站和支付宝的数据库是安全的，从分站渗透，到获得主站的权限，不多说，明白人就知道这难度有多大，需要有能力，还要有胆量（这点我觉得很重要）第五 内部肯定会有某种监控系统，以阿里的技术实力，有可能是自己开发的，出现未授权操作的会有报警的，别说拖库，你上个webshll或者提权估计都没戏阿里的安全团队都是业内的大牛，阿里的安全防御不是一个struts2漏洞就能搞定的。so，这类的谣言还是叫他放出点数据截图再说。
这个问题我想了几天，觉得合理的猜想是这样的：余额宝动了某些人的利益，于是想法放出风来说：淘宝帐号不安全哟，存进去的钱随时可能消失哟！还是存银行保险呀！
假的。淘宝和支付宝没有受此次Struts漏洞的影响：请见
如果拖出的库被放入公网，公之于众，只能说明被拖之事是早就发生了的，库中信息在圈内已被榨干了价值，再无用处；于是被扔给了圈内的底层，继而被暴露出来。所以，别等有了证据才说“原来我的库真被爆了啊”。如果一直没有证据被证确实被拖，原因就比较复杂了，可能是1、曾经尝试过进入系统，并获得了一定的权限，甚至有机会看到了数据只是没有机会拿出来，要么对内部系统不了解，不知道如何找出有价值信息；要么是数据量太大无从下手导致不得不放弃；2，数据的部分被取了出来，但由于加了密，到目前为止还未找到办法破解；3，数据的一部分有价值信息已经被提取和整理，正在小圈子内作为高价值数据贩卖，只是目前并未流通到外围圈子；4，阿里的公关做的比较好。5、确实没有攻入，只是哪个无良少年半夜梦呓吹牛逼罢了。阿里的技术在牛也一定是要基于计算机理论做的，net子系统再作更改也必定要基于TCP/IP工业标准，不然如何与交换机通信？难道阿里内部系统的寻址方式与外界的大不同？连交换机都是自己特制的？只要不得不符合这些标准那么漏洞就必然存在；还有TFS，cache等等其实没一样是安全的；而除了技术本身，更有可能在admin上也有未曾发现的漏洞。望阿里团队对此不要过分相信自己实力，掉以轻心了。
建议大家读读 白帽子讲web安全阿里的安全真心很好，内部监控系统和扫描器据说无人能敌
最不可能被拖走的应该是阿里、淘宝了。Fenng在微博上说这个漏洞6月份阿里的周拓就已经发现，并且给出修补方案了。从此对淘宝的安全性大为放心。
直接把权限给你让你拖搞不定吧，数据量太大了
1，都知道数据库里面的密文是啥意思，基本可以大致理解为hash+salt。2，在大公司混过的对与本公司的安全真有信心吗？csdn出事前你们能想象一个it的门户网站密码居然是明文吗？3，有价值的不仅仅是密码，邮箱|手机|购买记录更优价值。4，数据量大==用户信息的数据量大？1亿用户的信息+购买记录压缩一下也就几百兆而已。。5，黑客获得漏洞信息的时间就会比阿里人员知道的晚？0day不就是打的时间差？6，搞安全的别崇拜大牛，越牛逼的越会如履薄冰。7，我的观点：作为一个抛开php转向java的大公司，在遇到这种级别漏洞的时候，肯定是群狼眼里的肥肉，如果淘宝被拖库了，别感到很惊讶。
已有帐号？
无法登录？
社交帐号登录}