你不知道的黑客世界

葉夢瑩

網(wǎng)絡(luò)安全的世界非黑即白，復(fù)雜的代碼程序是他們的武器，在普通人看不到的網(wǎng)絡(luò)空間，每天都在上演著沒有硝煙的攻防大戰(zhàn)。這個群體日趨年輕化，一批90后正在成為主力，他們游走于網(wǎng)絡(luò)邊緣，甚至傳言能夠年入百萬；他們極少在公眾面前亮相，卻在網(wǎng)絡(luò)中有極強(qiáng)的存在感。有人為了炫技，有人為了金錢，還有一些人為了信仰。此次WannaCry事件再一次將黑客拉入人們的視野。

神龍見首不見尾的黑客

什么樣的人能成為黑客？《經(jīng)濟(jì)》記者帶著疑問加入了幾個黑客技術(shù)交流群，想了解黑客群體，靜待時機(jī)提出問題。群主每天會發(fā)送公告，要求本群黑客必須到群管理員處報到，根據(jù)每個人的擅長領(lǐng)域做相關(guān)業(yè)務(wù)推薦。如果有業(yè)務(wù)需求可以找管理員咨詢，未經(jīng)群主或者管理員認(rèn)可的交易，如若被騙與該群無關(guān)。

經(jīng)過一段時間的摸索，記者聯(lián)系到了nerd。他不是黑客，但懂一些黑客技術(shù)。當(dāng)了解到記者想要學(xué)習(xí)黑客技術(shù)的想法時，nerd直言不諱地向記者表示，“你干不了這一行，外面的工具都是騙人的，只有程序員才做得了黑客。”nerd還非常好心地提醒記者，跟別人學(xué)習(xí)只是皮毛，還是要學(xué)習(xí)專業(yè)知識。如果沒有通過國家計算機(jī)等級考試，做黑客就只是奢望，“最多就是一些黑客設(shè)計一個漏洞網(wǎng)站教你攻擊，玩一下而已，其實做的是忽悠騙錢的勾當(dāng)”。

nerd加群是為了找黑客渠道。據(jù)他描述，群里的人只是黑客的邊緣群體，高級黑客自有渠道，是不屑加入黑客群聊天的。nerd表示，高級黑客不會輕易攻擊網(wǎng)站，因為即使有付費(fèi)也賺錢不多，還需要承擔(dān)法律風(fēng)險。目前存在一種黑色產(chǎn)業(yè)鏈運(yùn)作是有些黑客專門負(fù)責(zé)做免費(fèi)軟件并留有后門，專業(yè)術(shù)語叫做“肉雞”，其他黑客找到“肉雞”可以轉(zhuǎn)手交易到第二級做木馬病毒的人，“木馬人”會利用漏洞將用戶的賬號信息賣給下家，層層相套?！叭怆u”還能夠刷各種網(wǎng)絡(luò)排名、攻擊網(wǎng)站游戲服務(wù)器等。

黑客：眼中只有漏洞？

一個黑客組織，想攻入某機(jī)關(guān)單位的電腦系統(tǒng)。當(dāng)他發(fā)起攻擊，管理員都會嫻熟地處理木馬病毒。幾輪下來，雙方僵持不下。后來黑客發(fā)現(xiàn)一個有趣的漏洞——管理員是單位中唯一一個技術(shù)高超的人。于是，黑客發(fā)起了車輪大戰(zhàn)，輪番攻擊電腦系統(tǒng)，令管理員身心俱疲。后來，黑客組織終于攻入了該系統(tǒng)，因為管理員辭職了。

“這次博弈已超出了技術(shù)范疇?！睆垊P在大學(xué)時期便癡迷于研究惡意軟件，如今是北京永信至誠科技股份有限公司副總裁，他用這個故事告訴《經(jīng)濟(jì)》記者究竟什么是黑客。

多年前，調(diào)制解調(diào)器（俗稱“貓”）在撥號時就會發(fā)出“嘀嘀嘀”的聲音，緊接著發(fā)出一小串尖銳的音頻信號。一個黑客做了一個小哨子，嘗試著模擬這個音頻?！坝幸惶?，他終于模仿成功了，可以免費(fèi)打電話了?！?/p>

張凱表示，所謂最簡單的黑客思維是“我不按照你原本的設(shè)計流程去做，你的系統(tǒng)會怎么樣”。比如，系統(tǒng)原本的設(shè)計是要求輸入1-9的數(shù)字，但黑客會嘗試輸入-1或符號。如果系統(tǒng)發(fā)生異常，那么黑客就發(fā)現(xiàn)了一個有可能被利用的漏洞，或者發(fā)現(xiàn)某系統(tǒng)漏洞的一個線索。

知名黑客黑色鐮刀也給《經(jīng)濟(jì)》記者舉了一個生活中的小例子。不久前，他在圖書館查詢書籍時發(fā)現(xiàn)可以利用Ctrl+Shift鍵切換中英輸入法，于是判斷程序員沒有關(guān)閉關(guān)于Ctrl和Shift鍵的其他快捷功能。他很快利用這個邏輯漏洞跳出了查詢程序，并完全控制了圖書館的管理系統(tǒng)，進(jìn)而發(fā)現(xiàn)了圖書館系統(tǒng)的更多缺點。身為黑客，獲取信息的速度會與常人不同，他們對信息的分析速度也會比常人更快。

“我經(jīng)常會收到不可理喻的求助信息?！北热?，有的學(xué)生因為考試不合格而請求他幫助其修改教務(wù)系統(tǒng)的成績，也有懷疑女友出軌的網(wǎng)友請其追查女友的通話記錄等。黑色鐮刀表示，對于不適合打交道的人只能選擇屏蔽。

守衛(wèi)幸福的白帽子

“我們都屬于白帽子”，香港科技大學(xué)計算安全實驗室主任張川教授告訴《經(jīng)濟(jì)》記者，所謂白帽子是“正面黑客”，屬于主動偵測系統(tǒng)軟件的漏洞，報告給相關(guān)軟件生產(chǎn)商，以幫助軟件在被其他人利用之前進(jìn)行修補(bǔ)?！霸趯嶒炇依?，我們用工具監(jiān)測軟件里的各種漏洞，平均每天能發(fā)現(xiàn)好幾十個漏洞?！逼髽I(yè)開發(fā)的軟件不斷更新、演化，變得更復(fù)雜，漏洞也越來越多，“但并不是每個都像WannaCry有巨大的破壞性?！?/p>

谷歌、蘋果、Facebook等大公司都會請白帽子幫忙查找軟件漏洞，每個漏洞會有幾千美元的獎勵。黑色鐮刀告訴記者，國內(nèi)普通的滲透測試員月薪為1.2萬元至1.5萬元，技術(shù)稍微遜色的測試員月薪也在5000元至6000元。張川向記者透露，“漏洞的價值越高，賞金越高。當(dāng)然也有不滿足于賞金的黑客，鋌而走險到黑市販賣高危漏洞。甚至很多政府也會高價購買漏洞，作為自己的網(wǎng)絡(luò)武器。”

“不懂網(wǎng)絡(luò)信息安全的人是幸福的，我們的責(zé)任就是保衛(wèi)他們的幸福?！卑⑷A是一位隱藏在黑客的影子下，卻在保衛(wèi)網(wǎng)絡(luò)安全的正義之士。

阿華已過而立之年，有自己的工作，平時也會在國內(nèi)最大的漏洞應(yīng)急響應(yīng)平臺補(bǔ)天。在高中剛接觸電腦時他就有了當(dāng)白帽子的念頭，但當(dāng)時條件不允許，沒有經(jīng)過系統(tǒng)性的學(xué)習(xí)，直到上大學(xué)時才開始啃專業(yè)書籍，在報選研究生專業(yè)后，阿華如愿學(xué)習(xí)到了網(wǎng)絡(luò)安全方面的知識。

讓阿華記憶深刻的是2008年汶川大地震時，一個黑客篡改了紅十字會捐款網(wǎng)站的賬號，操作別人捐錢到自己的賬號。得知此事后，他非常憤怒，主動協(xié)助公安機(jī)關(guān)從福建抓回了黑客?！爱?dāng)時很興奮，用自己的技能做了一件正義的事，蠻有意思?！?/p>

2014年，某市社保局的系統(tǒng)遭到黑客攻擊，黑客利用社保系統(tǒng)的漏洞竊取了大量的社保數(shù)據(jù)。阿華再次協(xié)助公安部門排查這起事件。在追查的過程中，阿華發(fā)現(xiàn)來自一臺某企業(yè)網(wǎng)站服務(wù)器的攻擊，與該企業(yè)取得聯(lián)系和授權(quán)后進(jìn)行排查，發(fā)現(xiàn)該網(wǎng)站服務(wù)器已淪為黑客的“肉雞”。在這臺服務(wù)器上發(fā)現(xiàn)了黑客竊取的社保局?jǐn)?shù)據(jù)，同時也發(fā)現(xiàn)了該黑客還攻擊了其他社保局。阿華經(jīng)過進(jìn)一步分析后發(fā)現(xiàn)了黑客留下的后門，通過對后門的訪問行為追查IP地址，最后定位到福建某高校的一個IP地址。通過這個IP地址，和當(dāng)?shù)剡\(yùn)營商及公安部門聯(lián)合定位，鎖定這個黑客，公安部門將其緝拿歸案。

駭客：眼中只有金錢？

“黑客越來越不道德了”，過去不少黑客只是為了炫技。黑客可以對被攻破的電腦做任何事情，勒索只是其中一種。黑客變得有組織、有目的，更多的是為了經(jīng)濟(jì)利益。這種做壞事的黑客又被稱為“駭客”。

“很多零日漏洞都藏在黑市里，目前看到的漏洞只是冰山一角?！卑⑷A表示，所謂零日漏洞（zero-day），即安全補(bǔ)丁與瑕疵曝光的同一日內(nèi)，相關(guān)的惡意程序就出現(xiàn)。這種攻擊往往具有很大的突發(fā)性與破壞性。這次WannaCry就是NSA（美國國家安全局）研發(fā)的工具。

“想成為黑客的人很容易被一些偽黑客引入歧途?！焙谏牭断蛴浾咄嘎?，目前黑客群體普遍年齡偏小，和很多黑客一樣，黑色鐮刀最初也是因為興趣入行，想成為黑客，需要學(xué)習(xí)代碼編程等內(nèi)容，這種枯燥且需要長時間積累的技能很難讓人有堅持學(xué)下去的毅力。在這種情況下，偽黑客很容易見縫插針，將初學(xué)者引入歧途。

偽黑客之所以吸引人，是因為他們直接利用黑客已經(jīng)編好的軟件進(jìn)行交易，不需要自己編寫代碼程序，使得偽黑客的工作更容易讓人產(chǎn)生成就感，再加上偽黑客組織會給被誘導(dǎo)者加上一些無用的頭銜，使他們更有成就感而無法自拔，因此沒有足夠知識和經(jīng)驗的初學(xué)者很難擺脫偽黑客的誘導(dǎo)，最終走進(jìn)深淵?！爸挥袡?quán)威的書籍和文章才是學(xué)習(xí)黑客真正的路徑。”黑色鐮刀表示。

黑客也是普通人

很多網(wǎng)絡(luò)安全公司的創(chuàng)始團(tuán)隊都是“黑客”。他們精通各種編程語言、操作系統(tǒng)、網(wǎng)絡(luò)通信技術(shù)和網(wǎng)絡(luò)攻防技術(shù)的高手。北京衛(wèi)達(dá)科技有限公司總裁張長河告訴《經(jīng)濟(jì)》記者，目前黑客行業(yè)要一分為二地看，正能量的黑客在保護(hù)和運(yùn)維國家和單位的網(wǎng)絡(luò)安全事業(yè)上發(fā)揮了巨大的作用。

微軟公司創(chuàng)始人比爾·蓋茨、美國蘋果公司創(chuàng)辦人史蒂夫·喬布斯、斯蒂夫·蓋瑞·沃茲尼亞克等人都是早期黑客界鼎鼎有名的大咖，他們擁有高超的黑客技術(shù)，并沒有把技術(shù)用在做壞事上，創(chuàng)造了Windows系統(tǒng)和蘋果手機(jī)等產(chǎn)品。在一些國家黑客身份是受到保護(hù)和推崇的，一些網(wǎng)絡(luò)安全的顛覆性技術(shù)往往是黑客發(fā)明的，這類黑客正在崛起和迅速發(fā)展壯大。

而負(fù)能量的黑客群體通過破壞他人的正常網(wǎng)絡(luò)工作等不正常手段牟取利益，給正常的生活和社會發(fā)展造成了極壞的影響，國家對于這部分群體的打擊力度正在加強(qiáng)，并且嚴(yán)格維護(hù)網(wǎng)絡(luò)世界的和平秩序，這部分黑客群體數(shù)量多，人員雜，受利益驅(qū)動，目前國家對于這部分人員的控制力度還不夠完善，需要進(jìn)一步加強(qiáng)。

信息泄露，警惕內(nèi)鬼

2017年3月7日，公安部破獲一起竊取公民個人信息50億條的案件。經(jīng)公安部調(diào)查，鄭某鵬利用京東網(wǎng)絡(luò)安全部員工身份，長期監(jiān)守自盜，與黑客相互勾結(jié)，為黑客攻入網(wǎng)站提供重要信息——包括在京東、QQ上的物流信息、交易信息、個人身份等數(shù)據(jù)信息。事后京東發(fā)出了一份聲明，聲稱鄭某鵬是試用期員工。

丁杰告訴記者，在國外泄露個人隱私信息的后果很嚴(yán)重，一旦某企業(yè)被爆出丑聞，企業(yè)或相關(guān)負(fù)責(zé)人要為此付出沉重代價。譬如，2013年11月27日至12月15日，因遭遇黑客攻擊，塔吉特全美1797家超市門店約4000萬名消費(fèi)的顧客信用卡和借記卡信息被盜，同時約有7000萬顧客的個人用戶信息被泄露。事后該公司首席董事長格雷格·斯坦哈費(fèi)爾宣布辭職。

“過去對信息安全只是行政層面的約束，如今是法律監(jiān)督。對于內(nèi)鬼泄露信息的約束較強(qiáng)?！倍〗芟蛴浾咄嘎叮芏嘈畔⑿孤妒歉鱾€企業(yè)內(nèi)部人員兜賣信息。如運(yùn)營商、互聯(lián)網(wǎng)金融服務(wù)商、公安內(nèi)部人員都有這種情況存在。不少黑客攻擊網(wǎng)站會使用黑客工具獲取信息，而內(nèi)鬼是在職責(zé)權(quán)限范圍內(nèi)獲取信息，因而對內(nèi)鬼的追查較難?！皣鴥?nèi)相關(guān)法律剛剛起步，即便發(fā)生內(nèi)鬼泄漏事件，往往是風(fēng)輕云淡。”

網(wǎng)絡(luò)安全有法可依

“我曾經(jīng)見過一個黑客攻入某蛋糕店點餐網(wǎng)絡(luò)平臺的后臺，然后拿走了很多訂餐用戶的信息?！倍〗芨嬖V《經(jīng)濟(jì)》記者，國內(nèi)很多餐飲企業(yè)的外賣平臺存在漏洞，包括知名的餐飲企業(yè)，黑客能夠輕而易舉地將信息盜走。

今年6月1日正式實施的《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）將對上述盜取個人信息的行為進(jìn)行法律約束?！毒W(wǎng)絡(luò)安全法》標(biāo)志著我國網(wǎng)絡(luò)安全工作有了基礎(chǔ)性的法律框架，有了網(wǎng)絡(luò)安全的“基本法”。

《網(wǎng)絡(luò)安全法》規(guī)定任何個人和組織不得從事非法侵入他人網(wǎng)絡(luò)、干擾他人網(wǎng)絡(luò)正常功能、竊取網(wǎng)絡(luò)數(shù)據(jù)等危害網(wǎng)絡(luò)安全的活動。白帽子阿華告訴記者，他在2008年以來協(xié)助公安機(jī)關(guān)逮捕的黑客，因?qū)ι鐣斐奢^大危害均被判刑。未來隨著相關(guān)法律越來越健全，將有效打擊危害網(wǎng)絡(luò)安全的違法活動。

中國電子信息產(chǎn)業(yè)發(fā)展研究院網(wǎng)絡(luò)空間研究所所長劉權(quán)告訴《經(jīng)濟(jì)》記者，在此次蠕蟲病毒襲擊前，各部委下發(fā)了防范病毒的通知，讓很多單位通過打補(bǔ)丁、殺毒、拔網(wǎng)線等方式預(yù)防病毒感染。“各部委下發(fā)通知，也體現(xiàn)了《網(wǎng)絡(luò)安全法》提及的國家采取措施，監(jiān)測、防御、處置來源于中華人民共和國境內(nèi)外的網(wǎng)絡(luò)安全風(fēng)險和威脅。”

劉權(quán)認(rèn)為，《網(wǎng)絡(luò)安全法》核心是網(wǎng)絡(luò)產(chǎn)品和服務(wù)的安全審查?！熬W(wǎng)絡(luò)產(chǎn)品、服務(wù)的提供者應(yīng)當(dāng)為其產(chǎn)品、服務(wù)持續(xù)提供安全維護(hù)；在規(guī)定或者當(dāng)事人約定的期限內(nèi)，不得終止提供安全維護(hù)?！贝送?，增強(qiáng)用戶的網(wǎng)絡(luò)安全意識，注重關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)也是《網(wǎng)絡(luò)安全法》的重點。