“库”从何来
拖库而来
拖库常见方式：
1）远程下载数据库文件
这种拖库方式的利用主要是由于管理员缺乏安全意识，在做数据库备份或是为了方便数据转移，将数据库文件直接放到了Web目录下，而web目录是没有权限控制的，任何人都可以访问的；还有就是网站使用了一些开源程序，没有修改默认的数据库；其实黑客每天都会利用扫描工具对各大网站进行疯狂的扫描，如果你的备份的文件名落在黑客的字典里，就很容易被扫描到，从而被黑客下载到本地。
（2）利用web应用漏洞
随着开源项目的成熟发展，各种web开源应用，开源开发框架的出现，很多初创的公司为了减少开发成本，都会直接引入了那些开源的应用，但却并不会关心其后续的安全性，而黑客们在知道目标代码后，却会对其进行深入的分析和研究，当高危的零日漏洞发现时，这些网站就会遭到拖库的危险。
（3）利用web服务器漏洞
Web安全实际上是Web应用和Web服务器安全的结合体；而Web服务器的安全则是由Web容器和系统安全两部分组成，系统安全通常会通过外加防火墙和屏蔽对外服务端口进行处理，但Web容器却是必须对外开放，因此如果Web容器爆出漏洞的时候，网站也会遭到拖库的危险。
社工方面大概有如下几种：
（1）水坑攻击
黑客会利用软件或系统漏洞，在特定的网站上进行挂马，如果网站管理员在维护系统的时候不小心访问到这些网站，在没有打补丁的前提下，就会被植入木马，也会引发后续的拖库风险。
（2）邮件钓鱼
黑客会利用一些免杀的木马，并将其和一些管理员感兴趣的信息绑定，然后通过邮件发送给管理员，而当网站管理员下载运行后，也会导致服务器植入木马，引发后续的拖库风险。
（3）社工管理员
对目标网站的管理员进行社会工程学手段，获取到一些敏感后台的用户名和密码。从而引发的后续拖库。
（4）XSS劫持
有时黑客也会为了获取某一些网站的帐号信息，他们会利用网站钓鱼的手段去欺骗用户主动输入，但这种方式只能获取部分帐号的真实信息，并没有入侵服务器。
洗库
通过一系列的技术手段对拖出来的库进行有效分类，筛选，加快后续撞库速度与精度的操作叫做洗库
类似可以在安全级别较低的找回密码环节进行前期洗库操作
撞库
将洗出来的库与目标网站进行撞库，非法获利
提醒
1设置难度更高的密码，且不要在多个网站使用同一套帐号密码
2不要在公共wifi下进行支付或者其它有安全风险的操作，流量虽贵，但不要因小失大
3定时修改密码
注：文章内容图文有在其它地方的借鉴引用
