黑客自述 | 一次对土耳其飞马航空的入侵复盘（2026）

助力行业的
助力行业的

李白你好

2026年11月5日 07:30
青海

去阅读

编者按：本文为基于开源材料重构的第一人称叙事。文中的数字、日期、组件名、身份标识与漏洞编号，均取自 黑客论坛 出售帖（2026-11-04，主题 209573，行为者 AckLine）、VECERTRadar 警报、Atlassian 官方公告、watchTowr 与 CrowdSec 对 CVE-2026-21589 的公开分析，以及飞马航空 2022 年两次数据事件的公开报道。第一人称的心理与对白为叙事重构，技术事实均有对应证据。文中不包含任何可复现的攻击方法。

一、目标选择与暴露面评估

土耳其最大的廉价航空之一，航班天天飞，客座率翻着倍涨。航空公司的数据有个特点：它停不下来。今天卖出去的票，明天就是新的 PNR；今天入职的机组，明天就有新的证件复印件进系统。数据是活的，这就叫新。

他们的知识库和工单系统跑在自托管的 Atlassian 上。自托管意味着什么？意味着补丁要自己装，装之前还要担心 Marketplace 插件崩不崩。我见过太多这样的团队：版本停在一个“反正还能用”的年份，运维手册里写着“升级需评估，暂缓”。这样的门，老。

第三件事最让我放心。这家公司在 2022 年被同一种方式教训过两次——一次是存储桶配置错误，两千三百多万个文件对外敞开；几个月后又是一起，六个多 TB 的电子飞行包数据。照理说，挨过两次打的团队会不一样。但据我所知，四年过去，他们的 Atlassian 还是互联网可达。教训没有被翻译成门锁。这样的人家，我进得去，也走得掉。

我在十月第一个星期就决定动手了。不是我提前规划，是全世界恰好在那几天把一份说明书摊在了桌上。

二、初始访问：CVE-2026-21589 无认证文件读取

十月五日，Atlassian 发了一份公告，编号 CVE-2026-21589，评 9.3 分，属于“无认证文件读取”。

十月六日，一家叫 watchTowr 的实验室把原理写成了公开文章。当天，公开的利用代码就出现了。

十月七日，全网开始有人扫。

我没有造门。门是那个共享资源库里一个顺序搞反的处理逻辑：路径先被清理、后又被解码，于是某种写法能穿过资源目录，读到应用自己放配置的地方。这是设计上的旧习惯，不是新漏洞——只是直到那天才有人把钥匙的形状画出来。我不写这段请求长什么样，因为它本身不值钱，值钱的是时间：公告到野外利用，只隔了两天。

飞马的门，是面向互联网的。员工要远程报修，外包要登录，地勤要查手册。Jira 和 Confluence 对着一百多个国家的机场开着。

我先读了一个文件。每个安装都一样，它就躺在固定位置，里面存着 Jira 与用户目录之间通信的应用程序口令。文件读出来，口令就是我的。有了它，我可以给自己建一个账号，并把这个账号放进管理员组。

从一个请求，到一个管理员。中间没有密码爆破，没有撞库，没有输错三次的告警。日志里不会留下太多痕迹——因为每一步看起来都像是系统自己在和自己说话。

三、持久化建立与权限维持

拿到管理员那天，我做了一件和四年前一样的事：没有先拿数据。

数据是货，门是命。货卖一次就没了，门可以卖很多次。

第一把钥匙，是我给自己建的那个管理员。用户名起得像他们的外包服务商——一家真的存在、和航空公司常有往来的 IT 供应商。组权限、时区、语言，全都填得规规矩矩。任何人在成员列表里扫一眼，都不会多停一下。

第二把钥匙在 Confluence 里。他们的空间很多，我挑了最不起眼的一个，放了一页“供应商对接说明”，页面属性、标签、创建者格式都和邻近页面一致。这页面对我来说不是文档，是保险：万一我的管理员被清掉，还有别的门。

第三把钥匙在云上。Jira 工单是个神奇的地方：运维会在票里贴密钥，开发会在评论里贴令牌，新人的入职文档里甚至有账号密码的截图。航空公司的 IT 工单也不例外。我在票和附件里翻到了一组 AWS 的身份材料。那个环境我不需要“入侵”——门本来就开着，我只需要走到门口。

我在帖子里放了 AWS 的 IAM 用户 ARN 和账户 ID。有人觉得这是炫耀，其实这是最便宜的证明：ARN 是标识符，公开了不疼，但它证明我真的站在过你云的门口，而且我知道里面还有什么。

四、数据收集与外泄过程

搬空花了我差不多三个星期。十月十号左右开始，十月三十号之前，能拿的都在我手里了。

先说 Jira。四十二万九千七百二十七张支持票。这不是小数目——一家航空公司的 IT 服务台，从什么时候开始攒，攒到四十二万九千七百二十七。我把它们按项目、按批次，一张一张倒出来。没有整库导出，没有触发任务队列的告警。就像搬家时一件一件往纸箱里塞，塞到最后，箱子堆满了一面墙。

Confluence 是三万六千九百八十八个文件。运维手册、网络拓扑、供应商清单、内部流程、会议纪要。我最满意的是那些“内部文档”——每家公司的 Confluence 里都有几页不该对所有人开放的东西，比如某某系统的默认口令，比如某某专线的拓扑图，比如应急联系人表。

然后是云上的存储，加上工单里的附件——护照扫描件、社保号码、员工明细表。附件是重头，因为文本轻，证件图像重。

打包完，一百七十三 GB 左右。

十一月四日，我在 PwnForums 发了帖，标题写得规矩：SELLING - Pegasus Airlines Data Breach - flypgs.com。帖子编号 209573。帖子里放了三样东西：数据清单、样本截图、AWS IAM 用户 ARN 和账户 ID。签名挂在底下：AckLine。

五、敏感数据暴露分析

有些东西是我在搬的时候才真正看见的。

四十二万九千张票，不是四十二万九千个数字。每一张票都是一个正在干活的人：IT 部的人、外包的人、在某个机场值机柜台后面打电话报修的人。工单里有他们的名字、员工号、部门、邮箱、电话。有些票的附件里贴着护照照片页——外籍员工办签证用的；有些表里列着一行行的社保号码，那是土耳其公民的 TC 身份号，十一位，像身份证一样跟人一辈子。

航空公司的人，护照就是工作证。境外基地的机组、派驻的机务、外语客服——每个人进公司都要交一次护照，每个人续签都要再交一次。这些复印件没有留在 HR 的档案柜里，而是被当成附件贴进了工单，或者塞进了 Confluence 的某个页面。一张票修完，附件不会删。年复一年，四十二万九千张票里埋着的身份文件，比任何数据库都全。

我还看见了他们的内部文档里写了什么。不是秘密，就是一家公司每天的运转：谁负责什么系统、哪条专线连到哪里、应急的时候打谁的电话。我手里不是“数据”，是四十二万九千个正在让一架飞机按时起飞的人。

六、外部检测信号与内部响应延迟

这次和以前不一样。这次，全世界都看见了。

十月七日，CrowdSec 就上线了检测规则。他们记录的信号，六千六百多条，来自八十九个 IP。其中八成八来自一家叫 LeakIX 的研究扫描公司。剩下四十几台，才是真正在敲门的。

我有时候会想他们安全团队那几天的样子。告警面板上，扫描流量每天都有，像城市里的雨。LeakIX 扫了，别的扫描器也扫了，日志里全是 404 和 403。看得多了，人就麻木了。他们会说：“又是扫描，没事。”他们不知道的是：扫描是别人的事，而我当时已经进去了。

何况升级本来就是件要勇气的事。Data Center 版本的升级，意味着几十个 Marketplace 插件要一个一个回归测试。业务不能停，票不能丢。于是会议结论永远是：暂缓，观察。10月5日的公告他们一定看到了。10月6日的分析他们也许转了。但他们选择在周末之后再说，而周末正是我干活的时候。

我看过他们 2022 年的两起事件。第一起是存储桶配置错误，第二起还是配置类问题。四年后，他们的 Jira 开着面向互联网的门。我不是第一个敲门的——那两天敲门的 IP 有八十多个。我只是第一个走进去的人。

七、出售帖中的信息模糊化策略

帖子里我写了“173GB”。这个数字是真的，但它的水分只有我知道。附件、日志、重复的导出批次、云存储里的历史快照——都在里面。真正属于“人”的那部分敏感数据，没有 173GB 那么夸张。买主打开之后会发现，货单上的体积，和货架上真正值钱的东西，从来不是一回事。体积是我的广告，稀有性才是价格。

“入侵了 AWS 环境”这句，我要承认它有一半是话术。ARN 和账户 ID 是身份标识，不是权限凭证。我能证明我见过这些标识，我能证明工单里确实躺着云上的材料，但我不会告诉买主我到底有没有走到能开关实例的那一步。在论坛上，“我进了你的云”比“我捡到了你云的钥匙”值钱得多。模糊，是我的定价策略。

帖子里说“护照和社会安全号码等个人信息”。数量和范围，我没有写。可能是一万条，可能是某个单表里的一次性样本。我不写，买主就会往大里想。卖家最诚实的话，从来不是写出来的那些，而是没写出来的那些。

还有“AckLine”这个名号。论坛上的名号可以随便起，一个号背后是一个人还是一个组，没有人知道，我也不打算让任何人知道。你们追踪名号，就像追一面旗，而旗是可以换的。

八、遗留访问路径与防御建议

如果他们的应急团队真的开始查，他们应该先看这些：

防守建议，我只说六句：

第一，先别改密码。 先查 10月5日以来管理员组里有没有新增的成员，查用户目录里那个“外包服务商”是什么时候出现的。密码改了，门还在；把新加的账号漏掉，等于把钥匙留给了客人。

第二，轮换那道应用程序口令。 那条文件读取链指向的配置里存着的口令，是所有账号操作的地基。改一百个密码，不如先换掉这一把。

第三，升级到修复版本，别等下一个“暂缓”。 这次的教训是：公告出来两天，全世界的扫描器就到了门口。Data Center 不升级的每一天，都是给后来者的窗口。

第四，检查云上的身份。 把帖子里公开的那组 ARN 对应的用户找出来，冻结、轮换、审计它碰过的一切。更要查工单和文档里还埋着多少类似的密钥材料——我是在票里找到的，说明它们一直就放在那里。

第五，把面向互联网的 Atlassian 收进去。 VPN、零信任、白名单，任何一层都行。Jira 和 Confluence 不是必须向全世界开门的。

第六，扫描流量不等于平安无事。 那些每天出现在日志里的探测，绝大多数没有恶意。但真正走进来的那个，不会在日志里大喊大叫。要去找的，是已经存在的东西：新账号、新密钥、新导出的痕迹，而不是期待下一声警报。

我在帖子里写了“SELLING”。这个词的时态很微妙——它是进行时。

本文为威胁情报叙事作品，所涉个人数据均已打码，技术细节仅用于防御参考。

网络安全情报攻防站

www.libaisec.com

综合性的技术交流与资源共享社区

专注于红蓝对抗、攻防渗透、威胁情报、安全资讯

👇 点击阅读原文，访问网络安全情报攻防站