近 3 年来，国内都有哪些比较严重的黑客入侵事件？
0、github 遭受来自我国加农大炮发出的DDOS攻击（百度担当了本次黑锅侠）
2015年3月份，攻击者劫持百度广告联盟的JS脚本并将其替换成恶意代码，最后利用访问中国网站的海外用户对GitHub发动大规模分布式拒绝服务攻击。
1、大陆境内所有通用顶级域遭DNS劫持（被Big Brother恶意Hack）
2014年1月21日，大陆境内所有通用顶级域（.com/.net/.org等）遭DNS劫持，所有域名均被指向一个位于美国的IP地址（65.49.2.178）。根据网络上资料显示，该IP地址属于美国Sophidea公司所有，而Sophidea公司的大客户之一就是著名的加密代理软件XX门的母公司。
2、Lizard Squad劫持联想域名，并泄露部分公司邮件
2014年2月25日，联想域名遭劫持，业内人士预测可能与联想近期收到的大量公开指责有关，该公司的电脑被捆绑了称为快鱼（Superfish）的加密广告程序，引起大量用户不满。在公众的压力下，联想最终决定删除软件，向受影响的用户道歉。
3、携程信息“安全门”事件敲响网络消费安全警钟
2014年3月22日，携程网被指出安全支付日志存在漏洞，导致大量用户银行卡信息泄露，电商如何对用户信息进行保护引发人们思考。
携程安全支付日志可遍历下载 导致大量用户银行卡信息泄露(包含持卡人姓名身份证、银行卡号、卡CVV码、6位卡Bin)
4、温州地区有线电视大面积被黑，播放敏感反动内容
2014年8月1日，浙江省公安厅官方微博通报，温州有线电视网络系统市区部分用户的机顶盒遭黑客攻击，出现一些反动宣传内容，影响了群众正常收看电视，造成了不良影响。
5、江苏公安厅:海康威视监控设备有隐患 部分设备已经被境外IP地址控制
2015年2月28日，江苏省公安厅下达《关于立即对全省海康威视视频监控设备进行全面清查和安全加固通知》
6、Apache Struts2连续爆多个高危漏洞，影响国内数百万信息系统安全
2013 年 7 月的 Struts2 漏洞实际带来多大影响？ - Java
7、[心脏流血]OpenSSL “Heartbleed”漏洞
OpenSSL 的 Heartbleed 漏洞的影响到底有多大？ - 信息安全
8、[破壳]Shellshock漏洞
Shellshock的破坏性有多大？有哪些潜在的攻击方式？ - 互联网
9、[贵宾犬]Google发现SSL 3.0漏洞，让黑客有可乘之机
2014年10月17日，一个存在于 SSL 3.0 协议中的新漏洞于今日被披露。该漏洞被命名为“贵宾犬”（降级传统加密填充提示），通过此漏洞，第三方可以拦截通过采用 SSL 3.0 的服务器传输的重要信息。
10、阿里巴巴宣称遭受互联网有史以来最大的DDOS攻击
阿里云的安全产品是如何抵御互联网史上最大一次 DDoS 攻击的？ - 网络安全
11、网易全线线上服务遭受大规模DDOS攻击
2015 年 5 月 11 日，网易骨干网宕机是怎么回事？ - 计算机
13、chinanews被黑涂改首页
怎么看中新网网页被黑一事？ - 新闻
你不太清楚的用户数据泄露事件
仅公安部一年查获被盗取各类公民个人信息就有近50亿条，而这可能只是泄露信息一小部分，2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，小米828万，Adobe：1.5亿，Cupid Media：4200万，QQ数据库：大于6亿，福布斯：100万，索尼：1.016亿，机锋网：2000多万，接近10亿多条。
1、快递公司官网遭入侵 泄露1400万用户快递数据
2014年8月12日，警方破获了一起信息泄露案件，犯罪嫌疑人通过快递公司官网漏洞，登录网站后台，然后再通过上传(后门)工具就能获取该网站数据库的访问权限，获取了1400万条用户信息，除了有快递编码外，还详细记录着收货和发货双方的姓名、电话号码、住址等个人隐私信息。
2、机锋网2700万用户数据泄露
2015年1月5日上午，知名微博账号“互联网的那点事”发布消息称，机锋论坛2300万用户数据泄露，包含用户名、邮箱、加密密码在内的用户信息在网上疯传，提醒用户抓紧修改密码。
3、小米800万用户数据泄露
小米论坛被脱裤（数据与官方符合）可能影响小米移动云等敏感信息
4、130万考研用户信息被泄露
国内考研疑似130W报名信息泄漏事件（疑似泄漏到今年11月份，正在被黑产利用）
5、智联招聘86万条求职简历数据遭泄露
看我如何拿下智联招聘八十六万用户简历（包含姓名，地址，身份证，户口等等各种信息）
6、12306网站超13万用户数据遭泄露
大量12306用户数据在互联网疯传包括用户帐号、明文密码、身份证邮箱等（泄漏途径目前未知）
7、汉庭2000万开房记录遭泄露
由于安全漏洞问题，导致2000万条在2010年下半年至2013年上半年入住酒店的2000多万客户信息泄露。
根域名服务器的故障事件
在2002年的10月21日美国东部时间下午4：45开始，这13台服务器又遭受到了有史以来最为严重的也是规模最为庞大的一次网络袭击。此次受到的攻击是DDoS攻击，超过常规数量30至40倍的数据猛烈地向这些服务器袭来并导致其中的9台不能正常运行。7台丧失了对网络通信的处理能力，另外两台也紧随其后陷于瘫痪。
2002年10月21日的这次攻击对于普通用户来说可能根本感觉不到受到了什么影响。如果仅从此次事件的“后果”来分析，也许有人认为“不会所有的根域名服务器都受到攻击，因此可以放心”，或者“根域名服务器产生故障也与自己没有关系”，还为时尚早。但他们并不清楚其根本原因是：
并不是所有的根域名服务器全部受到了影响；攻击在短时间内便告结束；攻击比较单纯，因此易于采取相应措施。由于对于DDoS攻击还没有什么特别有效的解决方案，设想一下如果攻击的时间再延长，攻击再稍微复杂一点，或者再多有一台服务器瘫痪，全球互联网将会有相当一部分网页浏览以及e-mail服务会彻底中断。
而且，我们更应该清楚地认识到虽然此次事故发生的原因不在于根域名服务器本身，而在于因特网上存在很多脆弱的机器，这些脆弱的机器植入DDoS客户端程序（如特洛伊木马），然后同时向作为攻击的根域名服务器发送信息包，从而干扰服务器的服务甚至直接导致其彻底崩溃。但是这些巨型服务器的漏洞是肯定存在的，即使2002年没有被发现，2002以后也肯定会被发现。而一旦被恶意攻击者发现并被成功利用的话，将会使整个互联网处于瘫痪之中。 2014年1月21日下午15时左右开始，全球大量互联网域名的DNS解析出现问题，一些知名网站及所有不存在的域名，均被错误的解析指向65.49.2.178（Fremont， California， United States，Hurricane Electric）。中国DNS域名解析系统出现了大范围的访问故障，包括DNSPod在内的多家域名解析服务提供商予以确认，此次事故波及全国，有近三分之二的网站不同程度的出现了不同地区、不同网络环境下的访问故障，其中百度、新浪等知名网站也受到了影响。
那些年，DDoS的那些反击渗透的事情。
DDoS攻击与对策
DDo（Distributed Denial of Service），即分布式拒绝服务攻击，是指黑客通过控制由多个肉鸡或服务器组成的僵尸网络，向目标发送大量看似合法的请求，从而占用大量网络资源使网络瘫痪，阻止用户对网络资源的正常访问。
从各安全厂商的DDoS分析报告不难看出，DDoS攻击的规模及趋势正在成倍增长。由于攻击的成本不断降低，技术门槛要求越来越低，攻击工具的肆意传播，互联网上随处可见成群的肉鸡，使发动一起DDoS攻击变得轻而易举。
DDoS攻击技术包括：常见的流量直接攻击（如SYN/ACK/ICMP/UDP FLOOD），利用特定应用或协议进行反射型的流量攻击（如，NTP/DNS/SSDP反射攻击，2018年2月28日GitHub所遭受的Memcached反射攻击），基于应用的CC、慢速HTTP等。关于这些攻击技术的原理及利用工具网上有大量的资源，不再赘述。
1.1 DDoS防御常规套路
防御DDoS的常规套路包括：本地设备清洗，运营商清洗，云清洗。
1.本地设备清洗
抗DDoS设备（业内习惯称ADS设备）一般以盒子的形式部署在网络出口处，可串联也可旁路部署。旁路部署需要在发生攻击时进行流量牵引，其基本部署方案如图18-1所示。
图18-1 ADS 设备部署方式
图18-1中的检测设备对镜像过来的流量进行分析，检测到DDoS攻击后通知清洗设备，清洗设备通过BGP或OSPF协议将发往被攻击目标主机的流量牵引到清洗设备，然后将清洗后的干净流量通过策略路由或者MPLS LSP等方式回注到网络中；当检测设备检测到DDoS攻击停止后，会通知清洗设备停止流量牵引。
将ADS设备部署在本地，企业用户可依靠设备内置的一些防御算法和模型有效抵挡一些小规模的常见流量攻击，同时结合盒子提供的可定制化策略和服务，方便有一定经验的企业用户对攻击报文进行分析，定制针对性的防御策略。目前国内市场上，主要以绿盟的黑洞为代表，具体可以访问其官网进一步了解。
本地清洗最大的问题是当DDoS攻击流量超出企业出口带宽时，即使ADS设备处理性能够，也无法解决这个问题。一般金融证券等企业用户的出口带宽可能在几百兆到几G，如果遇到十G以上甚至上百G的流量，就真的麻烦了，更别谈T级别的DDoS攻击了。
2.运营商清洗
当本地设备清洗解决不了流量超过出口带宽的问题时，往往需要借助运营商的能力了，紧急扩容或者开启清洗服务是一般做法，前提是要采购相应的清洗服务，而且一般需要通过电话或邮件确认，有的可能还要求传真。
运营商的清洗服务基本是根据netflow抽样检测网络是否存在DDoS攻击，而且策略的颗粒度较粗，因此针对低流量特征的DDoS攻击类型检测效果往往不够理想。再加上一些流程上的操作如电话、邮件、传真等，真正攻击到来时处理可能会更慢，需要重点关注。
值得一提的是中国电信的云堤服务，提供了“流量压制”和“近源清洗”服务，而且还提供了自助平台供用户操作，查看流量、开启清洗也非常方便。
3.云清洗
内容分发网络（Content Delivery Network，CDN）是指，通过在网络各处放置节点服务器，让用户能够在离自己最近的地方访问服务，以此来提高访问速度和服务质量。CDN主要利用了四大关键技术：内容路由，内容分发，内存存储，内容管理。更详细的技术原理可以参考中国电信研究院出版的《CDN技术详解》。
CDN技术的初衷是为了提高互联网用户对静态网站的访问速度，但是由于分布式、就近访问的特点，能对攻击流量进行稀释，因此，一些传统CDN厂商除了提供云加速功能外，也开始推出云清洗的服务，当然还有一些安全公司基于其自身优势进入云清洗市场。基本原理都一样，需要先在云端配置好相应的记录，当企业遭受大规模攻击时，通过修改其DNS记录将要保护的域名CNAME到云端事先配好的记录上，等待DNS生效即可。
使用云清洗需要注意以下几个问题：
1. -·云清洗厂商需要提前配置好相应记录。 ·DNS修改记录后，需要等待TTL超时才生效。
2. ·直接针对源IP的攻击，无法使用云清洗防护，还要依靠本地和运营商清冼。
3. ·针对HTTPS网站的防御，还涉及HTTPS证书，由此带来的数据安全风险需要考虑，市面上也有相应的Keyless方案{n1}。
由于国内环境不支持Anycast技术，所以不再赘述，如果有海外分支机构的网站需要防护，可以关注。
{nt1|其细节可以参考cloudflare公司博客上的文章，链接：[]()。
一些经验
结合笔者的一些经验，对DDoS防护落地做一些补充，仅供参考。
1.自动化平台
金融企业由于高可用要求，往往会有多个数据中心，一个数据中心还会接入多家运营商线路，通过广域网负载均衡系统对用户的访问进行调度，使之访问到最近最优的资源。当任何一条接入线路存在DDoS攻击时，能通过广域网负载均衡系统将该线路上的访问需求转移至其他互联网线路。在针对IP地址开展的DDoS攻击中，此方案能够有效保障正常客户的访问不受影响，为了实现快速切换，需要通过自动化运维平台来实现，如图18-2所示。
图18-2
线路调整一键应急配合必要的应知应会学习和应急演练，使团队成员都能快速掌握方法，在事件发生第一时间进行切换，将影响降到最小。接下来才是通知运营商进行清洗处理，等待流量恢复正常后再进行回切。
当某一个业务的IP受到攻击时，可以针对性地处置，比如一键停用，让正常用户访问其他IP；也可以一键开启清洗服务。
2.设备抗D能力
除了ADS设备外，还有一些设备也需要关注抗DDoS能力，包括防火墙、负载均衡设备等。
出于安全可控需求，金融企业往往会采用异构模式部署防火墙，比如最外层用产品A，里面可能会用产品B。假如产品A的抗DDoS能力差，在发生攻击时，可能还没等到ADS设备清洗，产品A已经出问题了，比如发生了HA切换或者无法再处理新的连接等。
在产品选型测试时，需要关注这方面的能力，结合笔者所在团队经验，有以下几点供参考：
1. ·某些产品在开启日志记录模块后会存在极严重的性能消耗，在可能存在攻击的环境内建议关闭。
2. ·尽管理论和实际会有偏差，但根据实际测试情况，还是建议当存在大量TCP、UDP新建连接时，防火墙的最大连接数越大越好
3. 多测试多对比，从对比中可以发现更优的方案，通过适当的调整优化引入更优方案。
4. ·监控防火墙CPU和连接数，当超过一定值时开始着手优化规则，将访问量多的规则前移、减少规则数目等都是手段。
负载均衡设备也需要关注以上问题，此外，负载均衡由于承接了应用访问请求分发调度，可以一定程度上针对性地防护基于IP速率、基于URL速率的DDoS攻击以及慢速攻击等。图18-3所示为F5的ASM的DDoS防护策略。
图18-3
负载均衡设备ASM防DDoS功能
请求经过防火墙和负载均衡，最后到了目标机器上处理的时候，也需要关注。系统的性能调优设置、Nginx的性能参数调整以及限制连接模块配置等，都是在实际工作中会涉及的。
3.应急演练
部署好产品，开发好自动化运维平台，还要配合必要的应知应会、应急演练才行。因为金融行业的特殊性，DDoS攻击发生的次数相比互联网行业还是少很多的，有的企业可能几年也碰不到一次。时间久了技能就生疏了，真正需要用到时，可能连登录设备的账号口令都忘了，又或者需要现场接线的连设备都找不到，那就太糟糕了。
此外，采购的外围的监控服务、运营商和云清洗产品的服务能力也需要通过演练来检验有效性。签订合同时承诺的秒级发现、分钟级响应是否经得起考验，要先在心里打上一个问号。建议在不事先通知的情况下进行演练，观察这中间的问题并做好记录，待演练完成后一并提交给服务商要求整改。这样的演练每年要不定期组织几次。
网站被攻击可以报警吗
可以报警，当网站被攻击了，出了问题了该如何处理？目前国家公安系统成立了一个网站安全保安卫，专门针对网络上的非法信息进行处理和监督，企业网站被攻击后，因此产生后果的，企业也需要负一定的责任。因此企业是有责任维护和保障企业网站的安全的。
1、找网站制作商，快速清除掉非法信息，通常被攻击的地方三个，一个是网站后台被攻击，二是网站程序被攻击，三是数据库SQL被篡改并注入；清除完成后，立即修修网站后台登录路径，后台账户和密码（采用强密码，有条件的话采用手机短信动态验证码登录为好），修改FTP账户和密码，以及SQL的账户和密码，我们非常不建议用SQL用户名直接默认的root。
2、如果域名不再使用的，可以在管局的网站里注销备案，有时候可能是因为你的网站已经到期了，但是备案的接入还是正常的，所以这一部分的域名很容易被高价抢注。这个时候直接注销到备案接入，跟你的公司没有关系。对方的网站也会打不开。当然如果对方网站接入的是境外服务器，则除外。
3、通过域名注册商，通过注册商举报接口进行举报。注册商审核之后会自动断其解析。以达到关网的目的。
4、搜索引擎收录的信息，可以在搜索引擎里提交投诉，以搜索引擎来处理。这个时候搜索引擎可能会提示有一个安全风险 ，如果网站还需要启用的话，可以清除掉非法信息后，提交申请风险预警恢复。
0条大神的评论