想象一下，你現在是一個坐擁千萬訂閱者的知名 up 主。一天半夜三點，你收到了同為 up 主好朋友的奪命連環 call，說你的頻道被「黑」了。

(資料圖)

等你鎮定下來、打開瀏覽器，你發現你的千萬訂閱頻道的圖標和名字，都被黑客改成了不知道哪來的商標，而且還在進行詐騙直播。你嘗試奪回頻道控制權卻無果，最后呆坐在電腦前束手無策，只能眼睜睜地看著你的頻道被站方直接封禁……

這就是 Linus Sebastian 在上周的遭遇。作為擁有 1500 萬訂閱者的 Linus Tech Tips 頻道主理人和眾多有影響力頻道的創始人，無論哪一個頻道被入侵，都有可能會給公司、眾多觀眾乃至社會造成不可估量的影響。

夜里三點被迫起床和黑客斗智斗勇的 Linus 圖源：視頻截圖

那么，在 Linus 的公司里，到底發生了什么？在發生入侵后的第二天，Linus 在他被找回的頻道里向觀眾娓娓道來頻道入侵事件的詳細始末。從 Linus 的講述中可以得知，黑客通過「偽名攻擊」（impersonate attack，又稱「身份偽造攻擊」）手段，通過 Linus 的雇員的無心之舉，成功入侵頻道，進而進行加密貨幣詐騙直播。

想要講清楚這種攻擊的手法，我們可以從一個（假想的）酒吧說起。

臉盲的酒保，和明文的會員卡

我們假設你經常去一家酒吧，每天下班都過得去小酌一口。這里的酒保有臉盲癥，每次跟他聊天都得說上很多背景信息，他才能跟上你的想法。但除此之外，這家酒吧賣的酒非常上乘，酒保也非常彬彬有禮，你也就將就在這里，作為下班后的去處。

有一天，這家酒吧突然宣布了一個優惠活動：可以一次性購買大量的酒，直接享受折扣優惠。這時候你問酒保：你不是臉盲嗎？我在你這里存了酒，你怎么知道誰是誰呢？酒保嘿嘿一笑，拿出一個本子，說，你存了酒，我會給你一張會員卡。你下次把卡拿給我，我會在本子上劃掉你的消費。

你一想，好像也沒毛病，于是你當即下單，酒保也給了你一張會員卡。這張會員卡上寫著酒吧的名字和地址，以及一個會員卡號。第二天，你去酒吧里，你把會員卡掏出來，酒保看到之后會心一笑，拿筆在本子上核對、涂畫，然后就給你上了一杯酒。

臉盲還是別當酒保的好——扯遠了

我們把故事先暫停在這里，回到相對更技術一些的討論上來。我們使用互聯網瀏覽器訪問網頁，所使用的技術叫做「超文本傳輸協議」（HTTP）。當初在設計這個協議的時候，設計者并沒有考慮到網站與用戶有交互行為的需求，因此 HTTP 就被我們稱作是無狀態的（stateless）協議——也就是在故事中的「臉盲的酒?！埂?/p>

這在互聯網網站被用于信息單向傳輸、還沒有發展出用戶交互的年代來說沒有什么問題，那時候的網民瀏覽網頁就是用來看看新聞。直到各種各樣帶有交互功能的購物、社交網絡等網站的興起，讓「臉盲的酒保」犯了難：我給你上完酒（加載完網頁），我就不認得你了，每次上酒還得問你一大堆東西，那可不成。

于是，Cookies——也就是上面這個故事里的「會員卡」——就呼之欲出了。這是一個從網景瀏覽器開始就擁有的技術，它的作用就相當于是在你的本地瀏覽器中登記網站地址和一些能證實你身份的信息（也就是會員卡上的酒吧名字和會員卡號）。

每次使用瀏覽器訪問網絡時，網站或多或少都會在你同意的前提下，向你的瀏覽器中寫入 Cookies 信息，包括你的登錄狀態和行為軌跡都會作為 Cookies 被存儲。這樣，只要 HTTP 這位酒保隨身帶一個小本子（你可以理解為后端服務器的數據庫），就能輕松辨別每一位顧客。

大概是這樣的對等關系

說到這里，你可能要問：那這 Cookies 和老萊的頻道被入侵，到底有什么關系呢？這就得說到這張「會員卡」的一大硬傷——本地明文存儲，以及針對這個硬傷而出現的「偽名攻擊」手法。

如何利用偽名攻擊「偷酒」？

我們繼續剛才那個故事：你剛到公司的時候，隨手把公文包往桌子上一放，就去上了廁所，回來之后你也沒有發現什么異常。直到晚上去酒吧喝酒的時候，酒保告訴你，你卡里已經沒有存的酒了。

這不對啊，這卡里剩下的酒，少說還能喝一個月?。磕銌柧票Ｊ遣皇强村e了。酒保說，在一個小時前，你把這卡里剩下的酒劃到了另外一個人那里。你看，我這本子上還登記著呢。

在你的不懈調查之下，你終于查清了事情的真相：原來，你的同事在趁你去上廁所的時候，從你（沒有加鎖的）的公文包里找到了你的會員卡，記下卡號，又找人按著卡號做了一張假的會員卡，并在一個小時前把你卡里的酒劃給自己。由于酒保沒有在會員卡上做任何的防偽措施，加上酒保本身就是個臉盲，當然不會知道把卡劃掉的人不是你。

沒錯，現代瀏覽器的 Cookies 存儲系統，實際上是一個沒有加密的本地數據庫。加上桌面端操作系統的沙箱機制不完善或經常被繞過，就導致瀏覽器的數據，實際上被放在「沒有加鎖的公文包」里。只要稍不留神，任何圖謀不軌的人都可以在你的眼皮子底下，把你的公文包里的東西翻個底朝天，然后利用你的會員卡號來偽裝成你進行操作。

還記得剛才說過，「登錄狀態」會作為 Cookies 存儲嗎？這個「登錄狀態」，實際上是在你登錄之后生成一段隨機字符串。服務器將這段字符串與你的賬戶聯結起來，然后要求你的瀏覽器作為 Cookies 存儲，之后，瀏覽器向服務器發送請求時，只需要攜帶這段隨機字符串，服務器就能知道是誰在發起請求。

這段隨機字符串的學名，就叫做「會話令牌」（Session Token）。也就是說，如果有人獲得了你的會話令牌，理論上就獲得了你的「登錄狀態」，以你的身份在網站上進行操作了。

你的會員卡還在，但是卡里管著的錢都沒了

接下來，我們終于可以回到 Linus Tech Tips 入侵事件事發之初，看看到底發生了什么。據 Linus 自己的說法，他的某位雇員在查收一封商業合作郵件時打開了郵件里附加的文檔，但電腦沒有任何響應。實際上，這是一個偽裝成正常 PDF 文檔的惡意軟件。

這個軟件，背后是一組針對在 YouTube 上有影響力的創作者的黑客。通過向創作者們群發郵件，黑客就會尋找「不小心」打開他們的惡意軟件的人，并通過由惡意軟件盜取的會話令牌來獲得創作者的 YouTube 頻道控制權。由于會話令牌是在登錄后分配的「登錄狀態」，因此偽名攻擊并不需要破解用戶的登錄憑證，包括密碼和驗證碼等，因為他們偷到的就是你的「登錄狀態」，所以這些憑證再安全也沒有用。

妥善保管「會員卡」，從正確的上網習慣做起

了解整個入侵事件的來龍去脈之后，我想你也許已經了解這張不起眼的「會員卡」的重要性了。在日常的網上沖浪過程中，想要避免 Cookies 被盜取，最重要的就是養成良好的安全意識和安全習慣。

例如：

? 由陌生人發來的所有郵件（或者熟人發來的不明所以的郵件）中的附件或鏈接，一定不能直接打開，最好是通過殺毒軟件進行掃描后再打開。

?一定要先完整檢查文件后綴名和網站域名，確認無誤后再打開。

?如果有條件，在虛擬機或 Windows 沙箱中打開這些可疑文件和鏈接。

?最好將操作系統的「顯示文件后綴名」選項打開——這樣，偽裝成普通文檔的惡意程序就可以很輕松地「現形」。

?不要在從搜索引擎隨便搜出來的不知名的小網站中胡亂下載東西。

?不要使用瀏覽器的密碼保存功能——對，這些密碼在瀏覽器里也會和 Cookies 一樣，被保存進「沒加鎖的公文包」里。

當然，這些安全提示不僅是「基操」，網上也有大量的文章來教你如何操作，這里就不多展開，有興趣的可以自行上網搜索。這里我們提及一些容易被忽視的文檔安全問題。

現代常用的文檔文件格式（例如 Word 和 PDF 等），或多或少都會帶有交互功能。這些功能有時被稱為「宏」，也有時直接叫 JavaScript APIs，等等，但它們都可以執行一些簡單的交互操作。很多黑客也瞄準這一點，將惡意代碼通過這些功能，寫入看似正常的文檔中，進而神不知鬼不覺地在你的電腦上安裝惡意軟件。

在通常情況下，這些交互功能在大多數軟件中是被禁用的。這也是 Word 或 Adobe Acrobat Reader 等軟件在打開一些文檔時候，會在軟件頂部彈出安全警告的原因——它們告訴你這個文檔試圖執行一些交互代碼，且已被默認禁用。

但是，現實中有很多人，這些提示看都不看直接點「允許」，殊不知這樣的操作會給電腦和個人數據安全帶來極大威脅。

在各種軟件發出安全提示時，請務必養成仔細閱讀安全提示的習慣，了解允許和拒絕所帶來的風險；即使要允許，也一定要確保來源可靠、可追溯，切勿當一個只會批、不會讀的「批奏章皇帝」。歸根結底，還是需要養成對應的意識和習慣，畢竟小心駛得萬年船。

大公司，請把鍋背好

現在大多數的社交媒體和網站，為了提升用戶日常使用的體驗，通常都不會制定「超時吊銷登錄令牌」的規定，也不會經常要求用戶進行二次密碼驗證（即使是在修改敏感信息之前）。

這就為黑客進行偽名攻擊提供不小的便利——畢竟，如果登錄令牌會在很短的時間內或在異常使用時失效，或是修改頻道標志、名稱等敏感信息之前需要進行密碼驗證，黑客能對賬戶進行的破壞行為就會大大減少。

這一點在 Linus 的視頻里也有提及：YouTube 的母公司 Google 好像并沒有針對這類攻擊，對 Google 賬戶的安全系統做出任何改良——早在 Linus 被攻擊之前半年左右，中國大陸另一個有影響力頻道「電丸科技」創始人 AK 也遭遇偽名攻擊，攻擊的方式、手法、目標與 Linus 的遭遇如出一轍；甚至現在去 YouTube 上以相關關鍵詞搜索，還能搜索到對應的加密貨幣詐騙直播（以及創作者們的各種抱怨）。

從這一點來看，Google 沒有理由不知道 YouTube 創作者們的頻道現在處于不安全的狀態下，而 Google 自己似乎在有意或無意地忽略了這些安全隱患。而要防止這些安全隱患，只需要幾個簡單的邏輯和存儲，就可以完成。

所以，在此呼吁各路互聯網公司，多在一些系統機制設計上，考慮到用戶的賬戶和信息安全問題。

畢竟，「賬戶安全」這四個字很多時候并非只是鼓勵用戶拿到更高的「安全分」就能完成的；一些簡單的機制設計，就能為用戶的賬戶安全提升幾個數量級，同時很多時候并不需要以犧牲用戶體驗為代價。

原文鏈接：

https://sspai.com/post/79066?utm_source=wechat&utm_medium=social

關鍵詞：