但對于需要核心數(shù)據(jù)的黑客而言，進入內(nèi)網(wǎng)只是第一步，接下來，黑客需要對數(shù)據(jù)進行分析，判斷核心數(shù)據(jù)所在位置，這就需要黑客對該網(wǎng)站的業(yè)務十分熟悉，甚至熟悉程度要高于網(wǎng)站運維人員，這樣才能判斷核心數(shù)據(jù)的子域名在哪一個IP段，進而找到核心數(shù)據(jù)。
當然，時機的選擇十分重要，這一切都要在一個合適的時間里進行：一個網(wǎng)站流量大，看守者不容易發(fā)現(xiàn)的時間。比如，一般的社交網(wǎng)站，上午十點和下午三點比較活躍。在這樣的時間里“拖庫”相對不易被察覺。
“拖庫”同樣是行話，意思是將目標數(shù)據(jù)下載下來。但在許多時候，他們并非需要經(jīng)過復雜的入侵程序獲得數(shù)據(jù)。因為許多人在不同的網(wǎng)站注冊信息時，會使用相同或相似的密碼。因此，這就存在利用“撞庫”的方式獲得更多的數(shù)據(jù)的可能。
2014年底發(fā)生的12306網(wǎng)站用戶信息泄露的事件，起初就被指是“撞庫”行為，即用戶的用戶名和密碼在其他網(wǎng)站泄露了，黑客利用其他網(wǎng)站獲得的用戶數(shù)據(jù)包，自動登錄另一個網(wǎng)站，匹配出部分用戶信息，形成數(shù)據(jù)庫。
不過，即使是通過“撞庫”發(fā)生的信息泄露，相關網(wǎng)站也難脫其責，因為只有存在安全漏洞，網(wǎng)站才可能被“撞庫”。
目前，12306網(wǎng)站用戶信息泄露事件發(fā)生的原因仍不明，官方仍未公布調(diào)查進展，網(wǎng)絡也曾一度流傳出泄露不是“撞庫”行為產(chǎn)生用戶信息泄露的例證。
黑色產(chǎn)業(yè)鏈
在數(shù)據(jù)被竊取之后，黑客不一定可以將這些數(shù)據(jù)銷售出去。職業(yè)“中介”應運而生。黑產(chǎn)鏈條上，有人負責竊取數(shù)據(jù)，有人專門從事分銷，尋找目標買家或幫買家尋找黑客。
21世紀經(jīng)濟報道記者試圖尋找這樣的人，于是在一些社工庫論壇注冊，發(fā)帖“雇傭黑客”，并且尋找一些專門從事數(shù)據(jù)交易的QQ群。在QQ群搜索功能中，只要輸入“數(shù)據(jù)買賣”、“數(shù)據(jù)交易”等關鍵字就會看到有大量的活躍群，它們的名字直白簡單，一般以“數(shù)據(jù)交易群”、“淘寶數(shù)據(jù)交易”等字樣為主。
21世紀經(jīng)濟報道記者偽裝成買家進入了其中一個交易群，并與一位聲稱可以提供“進線數(shù)據(jù)(打進某個電話的數(shù)據(jù))”的人進行對接。該人士稱，自己可以拿到每個行業(yè)里任意一家企業(yè)的進線數(shù)據(jù)。通過進入機房，實時監(jiān)控撥打該公司號碼的電話，并將其截取下來，進行銷售。
但陌生人的網(wǎng)絡交易，確保交易安全是個難題，數(shù)據(jù)提供方可能提供假數(shù)據(jù)，而數(shù)據(jù)購買方也不希望自己的購買行為被記錄下來。對于這些疑問，該人士稱，自己可以提供前一天的進線數(shù)據(jù)，并保證數(shù)據(jù)是一手信息。交易的過程，需要買家先少量購買，付錢后再工作，如果買家對第一批數(shù)據(jù)滿意，再進行下一步更多數(shù)據(jù)的交易。
至于交易價格，該人士說，每個行業(yè)的價格不同，21世紀經(jīng)濟報道記者問到餐飲行業(yè)的某家巨頭企業(yè)，他稱這些數(shù)據(jù)價格1條10元，而這個價格稱得上是“不便宜”。
數(shù)據(jù)交易達成的半年內(nèi)，買家和數(shù)據(jù)提供商為唯一擁有者，數(shù)據(jù)商保證不會泄露給第三方。半年后，數(shù)據(jù)商就可以將數(shù)據(jù)打包銷售，但此時數(shù)據(jù)已經(jīng)大大貶值，一條的價格大概是幾毛錢。
這時候，就產(chǎn)生了“二手數(shù)據(jù)”，二手數(shù)據(jù)一般會倒賣好幾次，基本已經(jīng)算是“公開”信息，這樣的數(shù)據(jù)在一些社工網(wǎng)站上隨處可見。21世紀經(jīng)濟報道記者潛水幾個社工論壇多天，發(fā)現(xiàn)每天都會有幾條數(shù)據(jù)供應帖發(fā)出，論壇用戶只需要支付幾個金幣(一金幣一元錢)的價錢就可以購買到大量數(shù)據(jù)，有的數(shù)據(jù)(如個別企業(yè)內(nèi)部通訊錄)甚至可以免費下載。