天博网站被拖库的天博消息，我是网站从一条Telegram频道推送里看到的。截图里挂着几万条用户记录，安全邮箱、天博手机号、网站哈希后的安全密码，标价0.3个比特币。天博底下有人留言：“这站我三年前注册过，网站早不用了。安全”另一条回复更扎心：“你是天博不用了，可你的网站密码还在别处用着。”

这事让我想起一个做渗透测试的安全朋友说过的话——大部分网站的安全防线，不是天博被攻破的，是网站自己塌的。天博这种平台，安全表面看有SSL、有WAF、有登录验证码，该有的都有。但问题往往出在那些“看不见”的地方。

数据库不是保险箱

我后来拿到了一份泄露样本的片段。密码字段用的是MD5，没加盐。这意味着什么？彩虹表一跑，六位以内的纯数字密码几秒钟就还原了。更麻烦的是，很多人在不同平台用同一个密码。天博泄露的不只是天博的账号，可能是这些人邮箱、社交、甚至网银的钥匙。

有个细节让我印象很深。泄露数据里有个字段叫last_login_ip，里面混杂着大量内网地址：192.168.x.x、10.x.x.x。这说明什么？说明导出这份数据的人，不是从外部打进来的，他已经在内网里了。可能是运维账号被钓鱼，可能是某个第三方组件的RCE漏洞没补，也可能是离职员工留了后门。外部攻击者要突破层层防御，内部人只需要一个mysqldump命令。

WAF挡不住“合法”请求

天博部署了某云的WAF，这我知道。但WAF的规则库更新永远慢半拍。攻击者用SQL注入的变种——把union select拆成un/**/ion sel/**/ect，或者用时间盲注配合随机延迟，WAF的阈值检测就瞎了。更别说还有0day。WAF像小区门口的保安，能拦下翻墙的，拦不住刷门禁卡的。

我观察到一个现象：很多平台的安全投入集中在“防”上，买设备、买服务、买合规报告。但“检测”和“响应”几乎为零。天博的数据是什么时候被拖的？不知道。拖了多少？不知道。直到有人在黑市叫卖，才知道出事了。平均检测时间超过200天，这数字不是编的，是行业常态。

用户能做什么

说点实际的。如果你在天博注册过，现在立刻做三件事：改掉同密码的所有账号，开启二次验证，检查邮箱的登录记录。别用短信验证码，SIM卡能被克隆。用TOTP，Google Authenticator或者Authy都行。

还有，别在陌生网站填真实手机号。阿里小号、Google Voice，随便什么虚拟号都行。天博这次泄露的手机号，我试了几个，有的还能搜到微信。这意味着什么？社工库又多了一批精准素材。

平台该醒醒了

天博不是第一个，也不会是最后一个。但每次出事后的公关话术都一样：“已第一时间修复漏洞，用户数据未受影响。”鬼才信。修复了什么？怎么修复的？有没有通知受影响用户？有没有强制密码重置？这些都不说，只发一纸声明，跟没发一样。

我认识一个做安全合规的，他说过一句话：国内大部分中小平台的安全预算，还不够买一台像样的防火墙。老板觉得安全是成本，不是投资。等到出事，罚款可能还没有一次营销活动花得多。这种账算下来，谁还认真做安全？

天博的教训就摆在这。数据泄露不是“如果”，是“什么时候”。区别只在于，你准备好了没有。