这次是迅雷，没错，又一家互联网公司中标，被人脱裤子的感觉，个中滋味，当事人心里最明了，WAF君不要做唐僧，给出的都是干货。
5月小米“脱裤”事件刚刚平息，另一互联网公司——迅雷再次中招。
脱裤，即拖库的同音词。‘拖库’本来是数据库领域的术语，指从数据库中导出数据。到了黑客攻击泛滥的今天，它被用来指网站遭到入侵后，黑客窃取其数据库
事情起因于“路人甲”在乌云提交了迅雷商场可上传任意文件的漏洞之后，众多黑客疯狂上传webshell到迅雷商场服务器，导致其数据库被“脱裤”，截止到事发当天13点左右，迅雷商场服务器已被下线处理，网盘已出现疑似迅雷数据库下载链接。
乌云“路人甲”提交漏洞信息
针对此次事件，如何确保您裤子的安全？绿盟科技WAF君帮您解决难题：
事前：请开启文件上传防护，防止被上传webshell。
事中：请开启Webshell上传防护（6.0.4.0版本后）。
事后：请开启文件下载防护，阻断下载密码库。
“脱裤”事件发生后，建议网站需要关注自身及第三方Web应用程序补丁升级，及时更新补丁。 从防“脱裤”的角度，绿盟WAF君综合自身十八般武艺，为客户保驾护航：
1.网络层访问控制：限制非HTTP服务端口的连接，拒绝一切非HTTP方式访问目标服务器。
2.URL访问控制：限制敏感路径的访问，对数据库文件、密码文件、管理员账户严格限制HTTP访问权限。
3.Web通用防护：防SQL注入、命令注入等各种注入式拖库手段。
4.非法下载限制：通过文件大小及扩展名检测，防止直接访问数据库文件。
5.防撞库及防暴力破解：应用HTTP Flood防护、扫描防护等机器人防护思路。
6.其他防护：
a)信息泄漏防护：有助于防止曝露服务器信息；
b)非法上传防护：防止通过上传Webshell控制主机；
c)Web服务器/插件漏洞防护：防止利用典型漏洞的拖库手段，如第三方Web应用程序（Discuz）的漏洞利用。