【相关分享】SQL注入可能导致的后果

好的，我又开始水文了(别投诉，别投诉，别投诉，重要的事情说三遍)

也是在群里碰到了一个很水的问题，也就有了这篇很水的文章哈哈 。

拖库

拖库就是指黑客通过各种手段，非法获取据库中的敏感信息，由于这些信息一般包含敏感信息，例如用户名、密码、姓名、证件、电子邮箱、电话、住址、金融信息等，一旦泄露将造成非常大的损失。

那么拖库是怎么做的呢？主要分为下面的三部曲：

「找漏洞」：黑客使用技术手段对网站进行扫描，查找漏洞，例如SQL注入、文件上传漏洞等。

「获权限」：通过上面找到的漏洞，然后建立一个Web Shell，进而获取操作系统的相关权限；

「导数据」：通过上面获取的权限，通过网络命令或者安装相关软件，将需要的数据导出，并且拉取、存储到本地计算机。

综述整个过程通过扫描探查获取系统方面的漏洞，进而获取系统权限，进而打通一个数据传输的非法通路，进而获取数据。在黑客完成拖库以后，就要干大事了，下一步操作叫做“洗库”。

洗库

黑客在完成拖库以后，将会取得大量的用户数据，然后黑客会通过一系列的技术手段，并且结合黑色产业链将有价值的用户数据进行变现，这个步骤称作“洗库”。

「游戏账号」：获取的用户游戏账号，包含账号本身、虚拟货币、游戏装备等，通过交易进行变现，也就是俗称的“盗号”。

「金融账号」：获取的用户金融账号，比如支付宝，网银，信用卡，股票的账号和密码，可以用来进行金融诈骗和犯罪。

「广告投放」：相对于游戏账号与金融账号信息，剩下的用户信息相对利益较小，但是这部分信息数量十分庞大，可以用作广告投放。比如对信息进行简单分类，分成如学生、蓝领、白领、金领等，并且发送广告、垃圾短信，进行电商营销等，并且有专门的广告投放公司，花钱购买这些分门别类的信息。

综述整个过程通过拖库获取的庞大的数据，对于数据进行层级划分，针对各种不同价值的数据进行分别处理，非法获取价值。那么数据经历了拖库、洗库，接下来，还有剩余价值，这就是“撞库”。

撞库

在经历了上面的洗库环节，黑客已经获取了直接的收益，那么是否还有其他的剩余价值可以获利呢？

由于互联网绝大多数的用户在不同网站使用的是相同的帐号密码的习惯，所以黑客可以通过获取的在A网站的用户账户信息尝试登录B网址，这就可以理解为撞库攻击。

具体手段：撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试遍历并且批量登陆其他网站，得到一系列可以登录的用户，进行获取更多的网站的用户信息。