上传文件大小超过限制怎么办_【更新官方回应】FBI网站被黑致数据泄露？官方称这根本是个骗局

某知名黑客近日入侵FBI网站（），并在网上公布了数个备份文件（.bck、.bck、.bck等），数据内容包括姓名、SHA1加密密码、SHA1盐值、邮箱等。

【1.6更新】黑客声称利用Plone CMS系统的0day漏洞入侵了FBI网站。然而，这条消息曝光后，Plone坐不住了，其安全团队发布博文称：此事与我们无关，绝对是诬陷！详情请继续阅读。

FBI官方网站遭黑客攻击，数据泄露

他是一位知名黑客，曾是第58大黑客组织成员，2011年曾有入侵FBI的经历，此外巴克莱银行、乐购银行、英国军情五处等均曾是他手下的受害者。

FBI 网站被黑客攻击的具体时间是 2016 年 12 月 22 日——据称此次黑客攻击是利用 Plone 内容管理系统（CMS）的 0-day 漏洞进行的。Plone 内容管理系统被认为是迄今为止最安全的 CMS，许多高级部门都使用此 CMS，包括 FBI。

他解释道，他利用的这个 0day 漏洞并非他发现的，他只是想测试一下 FBI 网站上的漏洞，结果成功了。其他网站也可能受到同样的 0day 攻击，比如知识产权协调中心和欧盟网络信息安全局。

德国、俄罗斯媒体对此次黑客事件进行了报道，而美国多家主流媒体则刻意忽视。

在得知入侵事件后，FBI立即指派安全专家开展修复工作，但Plone内容管理系统的0-day漏洞至今仍未得到修复。

在发现联邦调查局的修复工作后，他发了一条讽刺的推文。

他在推文中补充道：

我没有 root 权限（显然），但我知道他们运行的是 6.2 版本，数据可以追溯到 2007 年。他们最后一次重启是在 2016 年 12 月 15 日下午 6 点 32 分。

透露：

他从Tor网络购买了这个0day漏洞，卖家不敢入侵这样的网站，现在已经停止销售，我自己也会在推特上发布这个0day漏洞。

该漏洞仍然存在于CMS的某些模块中。

点击此处查看上述更新。

[1.6更新]Plone回应：与我们无关

Plone 安全团队对 Plone 的 CMS 系统遭到黑客攻击感到非常不高兴，因此他们发表了一篇博客文章，完全否认了这一“发现”。

“Plone 安全团队已经看到了犯罪指控，并对 Plone 进行了测试，并确定‘FBI 黑客’是一个骗局。Plone 或依赖 Plone 的系统中都没有零日漏洞。”

哇，好有信心啊——这是打架的节奏吗？这简直就是打脸啊。

(Plone 安全团队成员) 解释了为什么他们的团队认为“FBI 黑客攻击”和“Plone 0 日漏洞”故事是骗局。

原因 1：版本错误

Plone 是用 PHP 编写的，运行在 Zone 之上。Zone 是一个基于 PHP 的 Web 应用服务器。他在一条推文中写道：“我没有 root 权限（显然），但我可以看出他们运行的是 6.2。”

您是否知道 6.2 仅支持版本 .4 和 2.5，但 Plone 无法在这些旧版本上运行。

原因2：Hash值与salt值不一致

泄露数据的密码哈希和盐与 Plone 将生成的值不匹配。这表明泄露的数据是在另一台服务器上批量生成的。

值得一提的是，这些泄露的 FBI 邮件早在几年前就被公开了。（嘿嘿，就算 FBI 真的被黑了，那也不是 Plone 的错）

原因3：文件名不匹配

他声称在以 .bck 为扩展名的 Web 服务器备份文件中发现了登录信息。但是，Plone 数据库备份系统不会生成以 .bck 为扩展名的文件，而且 Plone 生成的备份存储在 Web 服务器目录之外。

解释：

“这种行为很难改变，而且对他也没有任何好处。”

原因4-截图有缺陷

推特上上传的一些截图迫使攻击者披露了部分源代码，但此类攻击通常针对的是PHP应用程序，在没有使用cgi-bin扩展的网站上不可能得逞。

一张截图显示的可能是从 FBI 服务器上的邮箱日志中提取的电子邮件信息。

“这很可能是他自己的服务器日志。虽然他将服务器日志的名称改为与 FBI 相同，但他忘记将电子邮件中显示的时区从印度标准时间更改为东部标准时间。”

原因五：欺诈历史

是的，之前确实有“假”记录，伪造这次攻击的目的可能是为了赚钱。

作为使用 Plone 的知名网站，成功攻破它对于其他黑客来说有着很大的吸引力，而很多黑客自然会跑到 Tor 网络上去购买这个其实并不存在 0day 漏洞，要知道这个 0day 的价格是 8 个比特币，约合 9000 美元。

在“谣言”传出之前，Plone已经宣布将在1月17日之前发布新的安全补丁，新补丁与本次0day无关，旨在修复轻微、低风险的安全问题。

*查看来源：，由FB编辑整理，转载请注明出处为.COM