黑客声称侵入了FBI，但事实并非如此

昨天，一名黑客声称入侵了联邦调查局在Plone CMS上运行的网站，但似乎没有使用Plone中的任何零日漏洞进行攻击。我们联系了Plone安全团队，并用官方声明更新了这个故事。

一个使用Twitter手柄的黑客网络狂热者，声称已经侵入了FBI的网站（FBI.gov），并公开泄露了几名FBI特工的个人账户信息。

CyberZeist最初于12月22日暴露了该漏洞，使FBI有时间在公布数据之前修补其网站代码中的漏洞。

黑客利用了联邦调查局用来托管其网站的开源内容管理软件Plone CMS中的零日漏洞，并将155名联邦调查局官员的个人数据泄露给了Pastebin，包括他们的姓名、密码和电子邮件帐户。

CyberZeist在推特上发布了多个屏幕截图作为其声明的证据，显示他使用影响其python插件的零天本地文件包含型漏洞未经授权访问服务器和数据库文件。

黑客还发现，FBI的网站托管在一台虚拟机上，该虚拟机运行一个定制的旧版本开源FreeBSD操作系统。 

根据另一条推文，Plone CMS zero day漏洞将在一个未命名的黑暗网络市场上出售。

Plone CMS被认为是当今最安全的CMSE之一，被谷歌等许多主要网站以及包括FBI和CIA在内的美国主要机构使用。

CyberZeist还警告其他机构，包括欧盟网络和信息安全局、知识产权协调中心和大赦国际，它们目前正在使用Plone CMS，它们也容易受到类似的攻击。

FBI当局尚未对这些指控做出回应。

与此同时，Plone安全团队发布了一条安全建议，称将于1月17日向其客户发布安全更新，以修补各种漏洞。"

目前，Advisory不包含关于这些漏洞的太多技术信息，但都支持Plone版本（4.x、5.x）。以前的版本可能会受到影响。

“我们在发布前提供的建议信息是标准的。事实上，即将发布的补丁将修复Zope的一个小问题，它既不是RCE问题，也不是LFI包含问题”。

值得注意的是，Plone安全团队还提到，“没有证据表明这里修复的问题正在被积极利用。”

“我们正在解决的问题与CyberZeist的说法完全不同，我们上个月解决的问题也不一样。”普隆安全团队的马修·威尔克斯告诉《黑客新闻》。

马修说：“从此类黑客中发布信息的目的是让人们相信你确实入侵了目标。声称黑客只提供公开的信息（如开源代码）或无法验证的信息（如散列密码）是恶作剧的常见迹象”。

“伪造这样的黑客非常容易；这需要基本的Photoshop技能或使用Chrome javascript开发人员控制台。”-普隆安全团队内森·范盖姆告诉THN。

此外，网络之水的Alexandru Ghica先生说，他是一家欧盟网站的维护者，该网站也被黑客入侵我可以肯定地说，至少有一些作为证据发布的数据是100%虚假的。这个骗局确实有点复杂，但仅此而已"。

这不是网络狂热分子第一次声称入侵FBI网站。2011年，这名黑客作为臭名昭著的黑客集体“匿名”的成员，侵入了FBI网站。