如果你对网络安全有所了解，那么你一定知道拖库和撞库。尤其是在一些信息泄露的新闻里，经常能看到它们的字样，因为拖库和撞库是导致用户数据泄露的最大元凶。接下来，一分钟带你了解网络安全拖库、撞库，一起来看看吧。

　　拖库

　　拖库本来是数据库领域的术语，指从数据库中导出数据。到了黑客攻击泛滥的今天，它被用来指网站遭到入侵后，黑客窃取其数据库文件。

　　拖库的通常步骤为：

　　1、黑客对目标网站进行扫描，查找其存在的漏洞，常见的漏洞包括SQL注入、文件上传漏洞等。

　　2、通过该漏洞在网站服务器上建立后门，通过该后门获取服务器操作系统的权限。

　　3、利用系统权限直接下载备份数据库，或查找数据库链接，将其导出到本地。

　　撞库

　　撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登录其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐户密码，因此黑客可以通过获取用户在A网站的帐户从而尝试登录B网址，这就可以理解为撞库攻击。

　　企业如何防御拖库、撞库?

　　1、密码在数据库中的存储应该优先考虑防拖库设计，如MD5加盐加密的方法;

　　2、设置合理的登录业务逻辑，如每一次登录请求更新为请求验证码;

　　3、登录错误信息返回优化，避免明确告知错误信息;

　　4、基于IP防控，对短时间内大量请求登录接口的IP进行监控告警甚至封禁;

　　5、移动端应考虑设备的指纹特征，当识别到某一账号设备指纹发生编号时即有可能被撞库，可引入更*级的身份验证方式;

　　6、基于行为交互式验证码技术，有效防范工具软件批量操作;

　　7、基于大数据分析的用户行为模型和策略，利用特征库识别发现异常请求。