小米论坛被脱裤了。

[sexoutsex2011]

http://www.wooyun.org/bugs/wooyun-2014-060627
微博上有人截图，13年的数据。受害者一枚，含泪飘过。i.mi.com 不小心同步了那么多个人隐私数据，这一下就全。。。

又传一个

发布会前夜的节奏

[sexoutsex2011]

关键是刚好我的小米号算早期注册号，用的还是较为通用的一个密码，没用随机密码。这下有得死了。

[xdeng]

他用的是dz吧？

[Sivan]

@sexoutsex2011
不管是真是假：
不要相信国内的云服务，用就做好泄露的思想准备；
就算泄露了也没什么，我们被泄露的隐私比我们想象的多；
被脱裤这种事不是第一家也不会是最后一家，心态很重要。

[sexoutsex2011]

@xdeng 是

[Sivan]

泄露的好像是社区，dz 不安全的，快改密码的话兴许云服务等风险不大。

[sexoutsex2011]

[ogrish]

有下载了。13年的数据。

[ScotGu]

对于这个新闻，表示很震精，然后。。。
还能怎样，默默的看看里面有我多少东西，然后改密码吧。

[Arumoh]

493.17M的版本正在下载..应该是真的,密码是加密的，弱密码的要注意了.

[Hashell]

坑爹的.我密码超简单的..刚去改了密码了.没找着销号的地方.

[anheiyouxia]

@Arumoh 求分享

[Arumoh]

一般人我不告诉他，http://pan.baidu.com/s/1eQl9QoE 密码: hlya

[zjgood]

@Arumoh 给力啊。。深夜福利

[jsonline]

已经把云上的数据全部删掉并修改了密码。 然后发誓不把隐私同步到国内的云服务。

[andyhu]

我昨天才注册的小米，看来应该没什么事
话说谁有手机各个库？am i hacked关掉了，我想收集全点做个在线查询，做好后可以免费给大家使用

[andyhu]

收集，抱歉打错了

[vibbow]

@andyhu LastPass就可以检测。

[anheiyouxia]

@Arumoh 谢谢分享(╯3╰)


@jsonline 本来就不应该，不止国内的，国外的也一样。

[javaluo]

没有salt

[javaluo]

加了salt

[WildCat]

Discuz!是有盐的。

不过真的大快人心，想知道那些软文作者是什么来头

[hermitu]

没找到改密码的地方。。。(┬＿┬)

[vellow]

尼玛登录都要排队，密码都改不了

[greatghoul]

已经修改密码了，这坑爹的玩意儿。

[fox]

求问：小米论坛跟多看绑定的小米账号是一套id系统吗？

[hermitu]

@Arumoh 下载了，但看不到里面的东西。。。

[belin520]

小米云的东西早期换手机已全部删除。

[anheiyouxia]

@hermitu 这个是MySQL数据库源文件，直接放到MySQL下的对应数据库文件夹下即可看到

[banxi1988]

@WildCat 真正受苦的是用户.
信息安全无绝对,而且漏洞是不可能完全避免了,所以还是谴责攻击者比较好.
因为真正泄漏隐私的是攻击者
或者应该想想怎么让攻击者不要这么肆无忌惮.

[lsmgeb89]

还好我几乎所有账号都已经是随机密码了。

[baocaixiong]

CREATE TABLE `xiaomi_com` (
`id` int(10) NOT NULL AUTO_INCREMENT,
`username` varchar(30) NOT NULL,
`password` varchar(40) NOT NULL,
`email` varchar(35) NOT NULL,
`ip` varchar(15) NOT NULL,
PRIMARY KEY (`id`),
KEY `username` (`username`),
KEY `email` (`email`)
) ENGINE=MyISAM AUTO_INCREMENT=8281388 DEFAULT CHARSET=utf8;

数据库结构。这个400多M的数据没有用的。最多查查自己在不在里面。

[that5]

又漏了,××

[shizzmk]

好歹前2年早注册再也没访问过，翔米怎么又作死啊

[jsonline]

@anheiyouxia 1 那怎么备份资料 2 我宁愿泄漏给外国人

[valianliu]

小米啊，你药店碧莲吧，登陆整出这么个提示，看来是确认被脱裤了。

[Ricky123]

小米的密码是什么加密的啊？

[fiture]

shit~

[jinyang656]

@valianliu
@fiture
不给提示，难道要假装没事？赶紧改密码吧，兄弟们

[MaiCong]

MD 一看到消息就马上去改了密码

[jandan]

再次提醒了任何站点注册账号密码最好不要一致，不一定哪天就裸奔了，哎。

[revival83]

@Sivan 我支持你我对百度云什么的一直持有呵呵的状态dropbox再慢也会坚持用，还有其他的更好选择吗？

[a3576623]

换密码头疼啊幸好没注册小米

[anheiyouxia]

@jsonline 我都是本地备份的，android用钛备份，定期传到电脑上的
你不介意，可以另外注册个邮箱，然后注册个Dropbox，然后用钛备份定期上传到这个Dropbox上，以前我就这么干的

[cevincheung]

@belin520 你以为你删的了么

[princeofwales]

我下载回来查了下，自己果然在里面
username是常用ID
密码加密过，早上已经修改了。小米账户里唯二的隐私就是手机号和收货地址了，这张表里没有
email是自动生成的，xxx@bbs_ml_as_uid.xiaomi.com，用email撞不了库

问题是，我下的裤子，里面怎么没有salt这一列？上面V友贴的表结构里也没有，难道根本没有加盐？还是放出下载之前，此列被有意删掉了？

[sun019]

discuz 密码有盐 不知道能反解密不
有空研究下

[WildCat]

@sun019 呵呵，不可能。

@banxi1988 嗯，说得有理，我只是说个气话。

[wy315700]

@princeofwales 盐和密码放在一个字段里 用冒号分隔的

[hzlzh]

没查到自己的，还是用 1Password 改密码先。

[Sivan]

@revival83
Dropbox 也难说保险啊，我现在用的是 Dropbox 和 iCloud。不过相比之下比国内应该安全很多吧。
通讯录我用的 QQ 通讯录，已经做好信息泄露的准备了（反正存的不是我电话而且陌生号码我从来不信 ಠ౪ಠ）。

[princeofwales]

@wy315700 回去看了下，果然
但这样就跟截图不同了，那张表有个单独的字段：salt
算了，不纠结了。明天小米有发布会，这时爆料出来，有点意思

[Mutoo]

我的密码也在里面了，虽然加了salt，但是在 cmd5 已经有可查记录。我都不知道啥时候注册的小米，还好只是弱密码。

[Explorare]

據烏雲那幫人說網路上還流傳着脫褲全過程的資料，比起數據庫，我還是對這個過程更感興趣啊，有人有找到麼( ´_ゝ`)

[viger]

@Arumoh 求下载地址．

[jdqingm]

感觉现在的裤子都是隐形的，穿着和脱了没什么两样…

[young]

@Arumoh 链接无效了

[lazyphp]

@Explorare 同求。 也想了解一下过程

[Orz]

早上朋友接到电话了，呵呵，我刚试了下登陆小米网站也提示修改密码。

[rAYz]

http://www.wooyun.org/bugs/wooyun-2014-060658
似乎又一个… 这是谁要搞死小米呀

[kingwon]

没搜到，有关键词不？

[skydiver]

@Orz 你先借我200。。。。亮了

[picasso250]

@Arumoh 网盘的分享被取消了……

[ihciah]

@anheiyouxia 求下载地址~~谢谢~

[cxshun]

貌似我的没提醒帐户异常，是不是就没啥事了。话说我是14年才注册小米帐号的，为了多看。

[kingwon]

@picasso250 霄池？

[sh4dow]

@Arumoh 求再次分享。不过800w的用户才400m，应该不全吧

[Keng]

我去，当年用小米同步了短信和通讯录，虽然后来我自己删掉了，不知道还会不会在后台保留着。。

[JW0224]

@anheiyouxia @Arumoh 求再次分享、、

[sexoutsex2011]

@Keng 有回收站的，需要再清空一下。

[guibin1989]

多看用户有影响么...

[sexoutsex2011]

@guibin1989 没用多看，不大清楚。但账号应该是打通的。

[anheiyouxia]

@JW0224
链接:http://pan.baidu.com/s/1dDmXTWd 提取密码:o6l0

[Ricky123]

加盐的MD5
可以解密么？

[anheiyouxia]

@ihciah 链接:http://pan.baidu.com/s/1dDmXTWd 提取密码:o6l0


@sh4dow 解压后1.2G

[Keng]

@sexoutsex2011 还真有回收站。。。
而且半年多了还不自动删除。。。

[whwnow]

@anheiyouxia 感谢分享,看看自己中招没

[anheiyouxia]

其实我搭建了个数据库，要是不想下载的可以跟我要数据库地址，我的用户名gmail.com

[kingwon]

果然在其中。

[young]

@sexoutsex2011 云服务联系人里面还有个时光机，怎么破

[sexoutsex2011]

@young 看了下，确实有。没招了，昨晚都白清了。

[byron]

@anheiyouxia 是不是只有五个字段？

[ihciah]

有谁知道加盐的算法用的什么？MD5(pwd+salt)？

[Aoliz]

问达人，需要修改其他平台上相同邮箱,相同密码的账号的密码吗？

[cnxh]

@ihciah md5(md5(pwd)+salt)

[byron]

@cnxh 这里可以查么？
http://www.xmd5.org/md5/getpasssalt.asp
怎么查？

[2232588429]

@anheiyouxia 你那个百度盘链接提示分享被取消了，怎么回事？

[laiwei]

小米公司的通告哈

总体来说，影响很小

另外，小米的passport，会做检测，提示更新密码

[slappedman]

删的挺快啊！求再次共享，俺在这蹲着刷，谢谢！

[newborn]

蹲点求内裤

[picasso250]

@ihciah 正在试验……

[pk0377]

线上求内裤

[jackluo]

@newborn 求结果。。。

[picasso250]

@cnxh 谢谢

[pk0377]

@anheiyouxia 被取消了！

[pk0377]

@picasso250 私信。地址。。

[Leo]

好诡异，早上已经修改密码了
下午登录异常，居然能用旧密码登录，这是什么防范逻辑？

[codingpp]

@anheiyouxia 求结果！！！

[zangbianxuegu]

shi一样的产品

[anheiyouxia]

http://zhuanlan.zhihu.com/wooyun/19752440

乌云那边已经试出来了...
破解算法：md5(md5($pass).$salt)

[pk0377]

@anheiyouxia 求地址