CloudFlare遭「滴血攻击」：若你注册了这些网站，请立即修改密码_最新动态_新闻资讯_程序员俱乐部

　　请！立！即！修！改！密！码！

　　国外著名的云加速、云服务器提供商 CloudFlare 近期被曝光存在重大「滴血攻击」漏洞，200 多万网站受此影响，其中不乏 Uber、Medium、4Chan、Yelp、海盗湾、feedly 等用户数量达到千万级甚至亿级的网站。据初步统计，至少 2 亿用户被此事波及，需要及时修改密码。2015 年时，CloudFlare 曾获百度、微软、Google、高通高达 1.1 亿美元的投资。

　　作为被全世界站长界最出名的云加速、云安全服务商，CloudFlare 上运行着 550 多万个网站（官方网站数据），但是因为公司的三个服务 email obfuscation（邮件混淆）、Server-side Excludes（服务器端排除）、Automatic HTTPS Rewrites（HTTPS 自动重写）存在「滴血攻击」漏洞，只要黑客利用这一漏洞进行攻击就可以获得同一服务器上其他网站的缓存信息，进而导致信息泄露。这一漏洞最早被 Google 安全团队发现，在 2 月 18 日他们就发出了安全警告，很快 CloudFlare 就修复了这一漏洞并给出了原因解释，「每 330 万个 https 请求中就有一次攻击行为，有可能导致信息泄露。」而根据 2015 年底公布的数据，CloudFlare 每个月将处理 1 万亿次请求，很难想像 CloudFlare 这次漏洞可能已经影响到了 200 多万个网站。

　　发现这一 bug 的 Google 专家表示，「通过测试，主流相亲网站的私人邮件、密码数据库、成人网站构架、酒店预订信息等数据都可以被黑客抓取，用户的信息、密码等数据都可以被泄露。」

　　虽然到现在为止 CloudFlare 没有公布具体的受波及网站名单，但已经有不少网站主动发声明要求用户及时更改密码。已经有 GitHub 用户公布了可能已经被这一漏洞攻击过的网站名单，这一名单上的网站数量高达 427 万个。（需要注意的是，这是在 CloudFlare 上运行的大部分网站，并不意味着这些网站上的用户信息已经泄露）

　　CloudFlare 在声明中还表示，「到目前为止还没有发现有人恶意使用这一漏洞的情况。」虽然也没有网站对外宣布用户信息泄露的情况，但漏洞曝光之前的攻击行为可能已经导致不少用户信息泄露。而且在 CloudFlare 上，有不少千万甚至亿万用户级的网站，TECH2IPO 建议各位如果在以下主流网站有建立账号的话，请及时修改密码！

Medium.com
4chan.org
Yelp.com
Zendesk.com
Uber.com
theprivatebay.org
change.org
feedly.com

　　CloudFlare 满不在乎的态度也惹恼了不少用户，在 CloudFlare 最初的回应中，对漏洞的影响描写地极其轻微，随后又承认这一漏洞在 2016 年 9 月 22 日就出现。在许多网站已经主动邀请用户修改密码的时候，CloudFlare 依旧表示没人反馈回报漏洞、没有发现恶意使用现象。