知者无畏--一个真实的簿世界-第16章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
⑾至俗髡叩拿帧魑· 史密斯，而后他被证明有罪。
〃这就像一个银行抢劫犯在他自己的存款单背面写下'抢劫'一样，〃 理查德·史密斯解释说，〃我们其中的一些人在网上搜索被爱虫病毒感染的文件。后来在菲律宾AMA计算机学院发现了一个相关文件，其中有近40个人的真实姓名。〃除了一个文件中留有真实姓名，一个文件天生具有和爱虫病毒类似的特征之外，作者还犯了另外一个错误：尽管他在病毒发作以前1个月就将病毒上传到某个网站，但是他却没有想到本地的ISP却保留有所有拨入用户的电话号码记录，凭着这个记录就可以追踪出这个电话号码。
尽管执法者们经常接受像史密斯这样的计算机程序专家的帮助，他们也有自己的力量。当史密斯正在追踪美丽莎病毒的时候，美国联邦调查局的计算机小组也已经整装待发。
〃你 依然得做那些传统犯罪调查步骤，〃美国联邦调查局驻纽约办事处的代表吉姆·马戈林解释说，〃还必须建立嫌疑犯清单。〃所以，美国联邦调查局于1998年成立了美国国家基础保护和计算机入侵小组（NIPC）。马戈林告诉我们，许多美国联邦调查局的地区性办公室现在也有了他们自己的计算机小组。大约有15人在纽约办公室的计算机犯罪小组中工作，其中包括计算机犯罪专家。作为计算机分析反应小组（CART）的审查人员，这些专家能够破译黑客留下的密码。他们也经常被借调到美国联邦调查局其它部门调查白领犯罪，比如洗钱和内幕交易。目前，追踪一名黑客需要耗时数月。在被广泛报告的分散式DDoS的攻击中陷入瘫痪的数个著名网站里，有成千上万的记录文档需要被清理。
一个DDoS攻击通常使用一个程序，这个程序被秘密地部署在几十甚至上千台计算机上，连他们的主人都不知道。一个黑客可以花费几个月的时间在网上搜寻那些易受攻击的系统，并迅速通过电子门户，然后在这台计算机中植入这种程序。之后，黑客将在某个时间激活受感染的系统引发程序开始攻击，这些攻击在外界看来就是来自那些不受怀疑的计算机系统的信息请求。而被攻击的网络立刻会被无数的数据包所吞没，使得其服务器陷入瘫痪。 一个DDoS攻击通常都要经过数个因特网服务提供商的转发，就像一个电话呼叫经过数个电话交换机一样，想要得到电话记录会变得十分困难，追踪电话的来源几乎是不可能的。许多黑客会通过几个州，甚至是几个国家的因特网服务提供商来发送信息。而且，大多数的因特网服务提供商在几周后就会删除这些登录记录，所以执法者必须及时行动才有可能得到证据。当像理查德·史密斯这样的个人和美国联邦调查局的CART审查人员致力于追踪计算机犯罪时，私人公司已经建立了他们自己的报警系统。许多有公众交易的公司（比如银行）不希望暴露自己计算机系统的弱点，所以他们往往求助于那些私人公司，诸如美国的因特网安全系统公司。该公司会在客户的计算机系统中建立起报警系统以警示非法入侵。这些早期报警系统一旦寻找到特定的签名和特征值后就会立即提示机主要对此特别注意。
〃但是我们没有什么好方法来阻止DDoS的攻击。〃因特网安全系统公司X…Force搜索程序的总监克里斯·鲁兰德说。为了阻止这种攻击，该公司经常同客户一起彻夜工作，花时间破译被加密的特洛伊木马程序（一种看起来无害、但其实有害的程序）。〃我们还有一个更高级的安全工具原型，〃 鲁兰德解释说，〃它将为你建立一个'蜜罐'陷井来诱捕那些企图闯入的黑客。〃他的公司通常每个月能为客户报告30～40个计算机系统安全漏洞。另外一个方法就是不间断地监视计算机网络，这项服务由Counterpane因特网安全公司提供。通过监视可疑活动，Counterpane公司试图在任何真正的损害造成之前阻止黑客的下一步进攻。
〃为了达到这个目的，我们建立了一个分离的安全应用系统，并且全天有人值守。〃《应用密码术》的作者、Counterpane公司的创始人布鲁斯·施奈尔解释说。位于加利福尼亚州的Counterpane操作中心的作用是击退真正的物理攻击，它拥有自己精密的监视和安全系统，包括摄像和声音监视、人工陷井和最新的生物鉴别访问控制。这个中心目前还拥有一个备份的摄像监视系统。这种方法看起来有些极端，但安全专家是有理由这么做的。每一种新病毒都会带来一种新技术和一种对因特网的新威胁。随着像移动电话这样的设备可以接入因特网以来，病毒传播变得更具广泛性和破坏性。一个通过短信息专门攻击移动电话的病毒Timofonica已经问世了，所幸它在对西班牙Telefonica公司的无线网络造成严重损害之前被截获。计算机安全的未来也许可以在美国能源部桑迪亚国家实验室中找到。那里的研究人员正在开发虚拟警察来监视网络上的可疑行为。这个尚处于试验阶段的程序能仔细地观察端口扫描（试探可能出现漏洞的后门）并且常年监视这些端口。通过使用复杂的特征值识别技术和与其它计算机上的记录进行比较，该软件能够在远远早于网络值守人员觉察到事情有什么不对劲之前就探测到黑客的入侵。毫无疑问，因特网上还会有更多的病毒和DDoS攻击出现。正像CERT的皮克尔说的那样，网络正在迅速变得像高速公路一样地普通，〃但是每天都有交通事故发生。所以我们必须知道什么样的事情会在网上发生，还要知道当这些事情真地发生时我们该如何处理。〃
第九节 现代威尼斯商人，病毒商人的故事
在电脑病毒这个神秘的世界里，除了病毒制造者、杀毒软件厂商和普通的用户以外，还存在一个人数众多的灰色团体，人们用了很多词汇来描述他们：“病毒爱好者”、“病毒收集者”，但是他们往往自称为“病毒商人”。他们和病毒制造者有密切的联系，病毒制造者在制造出新的病毒之后，往往会提供给自己熟悉的病毒商人，然后在这个小团体内部开始流传。“病毒商人”和杀毒软件厂商也有密切的合作，杀毒软件厂商通过他们可以得到从来没有实际流行起来的病毒，或者一些还没有被广泛发布的病毒。这个小团体的人数并不是很多，而且和普通的黑客社团不一样，他们的年龄相对于十几岁的黑客来说要大一些，他们从事这一行的原因基本上只有一个，就是对电脑病毒的兴趣，这个团体的人分布在世界各地，其中欧洲地区占了大部分，在美洲和中东地区也有少量的病毒爱好者。
“病毒商人”充实自己收藏，主要通过交换的方式进行，如果有机会接触到一个其他病毒爱好者没有发现或者收集到的病毒，“病毒爱好者“会有极大的成就感，这个时候，他会对病毒进行详细的分析，然后把新病毒和自己的分析报告一起进行病毒交换。这种新病毒的首次发现和首次分析，对于这个团体的成员来说是一个非常大的荣誉。“派克斯”、“病毒小鬼”等人就是因为首次提交和分析了大量的病毒，从而在这个团体了获得了很高的知名度和声誉。
当然，俗话说得好，“熟读唐诗三百首，不会写诗也会吟”，长期和病毒打交道，并且对这些病毒进行了详尽的分析，众多的病毒爱好者同样具备了制造病毒的能力。而且据我所知，确实有一些病毒收集者在制造病毒，但是基本上，这个团体不会制造具有非常大破坏力，或者造成很大流行的病毒，因为他们研究病毒的目的是出于一种爱好，验证技术和在团体内部得到承认的动机要远远大于制造和散布一种造成恐惧的病毒。
作为一个反病毒厂商，如果要得到全球最新的病毒消息和样本，就必须和这些爱好者的团体打交道，这种联系基本上都是通过互联网进行的。双方首先交换病毒的列表，这个列表一般是由得到广泛认同的反病毒软件生成的，从对方的列表中找到自己的感兴趣的内容，然后通过FTP或者电子邮件的方法交换病毒样本（只有在这个团体内得到了一定的知名度和信誉之后，交换才能顺利的进行，否则需要通过一次一个病毒的方式逐步建立起双方的信任来）。
为了收集、整理病毒样本的方便，“病毒商人”们自己开发了很多工具软件，这些软件可以用来对病毒样本进行整理，去掉其中重复的部分，自动生成大家都认识的病毒列表等等。其中最著名的是布莱恩。伯谛克开发的VS2000。
VS2000是一个命令行环境下执行的程序，主要功能包括：
从日志文件生成一个病毒数据库，去掉其中重复的内容。
从数据库输出病毒的列表
在数据库中查找指定的病毒
比较两个日志文件，发现其中不相同的部分
使用VS2000可以方便的对病毒样本进行整理，生成“病毒商人”们都认识的病毒列表文件，从而进行交换。
在“病毒商人”这个独特的社区中，价值观和财富的概念都是和病毒密切相关的。在病毒社区里面，衡量一个人的财富的唯一指标就是它所拥有的病毒的数量和稀有程度。一个人在社区里受到尊敬的原因可能是他为社区贡献了一种稀有的病毒以及相应的病毒分析报告。
病毒贸易
“病毒商人”们进行交易的场所基本上都是互联网，下面是一段发生在ICQ或者某个IRC频道上的典型对话（处于众所周知的原因，我在这里使用了代号而不是名字）：
Zhu：你好
Perkily：你好
Zhu：我是Zhu
Perkily：我是 Perkily
Zhu：听Frank（一个著名的病毒收集者）说你有很多稀有的病毒，能不能交换一些
Perkily：没问题，我可以把Log文件发给你（几种反病毒软件的扫描记录）
发送文件。。。
Zhu：我已经检查过了，我对Criz家族的病毒比较感兴趣，能否用Worm。ABC家族和你交换？
Perkily：Worm。ABC家族的种类太少，我已经拥有了大部分，Criz家族是真正的稀有品种，没有在世界上流行。
Zhu：我用WSH。XYZ加上Worm。ABC和你交换？
Perkily：还是不平等，等等，你有Lotus WordPro的病毒家族，加上这个？
Zhu：让我想想
OK，成交了
Zhu：明天上午10：00交易（威尼斯时间）
Perkily：没问题
第二天上午，威尼斯时间10：00
Zhu：你好
Perkily：你好
Zhu：准备好了吗？我的文件已经通过电子邮件发送给你了，其中有两个是没有加密的，其他的是加密的，邮件使用PGP加密，你可以在我的主页上找到我的PGP公开密钥。验证你的东西之后我会把密码发送给你。
Perkily：我的样本已经上传，请到下面的地址下载文件：ftp：//mygod/perkily/virus。zip（10分钟之后删除）
Perkily：你的邮件我已经收到，两个没有压缩的样本确实是我需要的，解压缩我的样本需要的密码已经通过邮件发送给你了。
Perkily：在我的主页上你可以得到我的数字签名，使用那个数字签名你可以验证我的身份。
Zhu：已经下载完成，密码也已经拿到。
Zhu：没有问题，我刚验证过，确实是Criz家族，以供17种变种对吗。
Perkily：没错，Word Pro病毒很有意思，我手头的杀毒软件都没有反应，很高兴和你交易。
Zhu：我也是，下次有新的收藏请立刻通知我，再见。
Perkily：再见。
第十节 “中美黑客大战”的背后
实际上，病毒制造者和病毒爱好者和人们常说的黑客／红客有着本质的区别。病毒制造者本质上是一个创造者，虽然他们创造的不是天使而是撒旦。而通常所说的黑客／红客的本质是一种破坏者，他们使用一些现成的工具，对因特网上的站点进行攻击和破坏。但是一般人往往把病毒、黑客、红客和因特网站点的攻击者混为一谈，实际上这几者之间还是存在很大的区别的。
继2000年美国轰炸中国大使馆之后造成的零星黑客攻击事件之后，2001年4月，中美在南海上空又发生了飞机相撞事件，由此爆发了一场中美黑客相互攻击的大规模网络战斗，习惯上人们把我们这边的叫做红客，把他们那边的叫做黑客，于是这场网络上的攻击网站之争就变成了红黑大战。
下面是在5月1号附近短短的几天之内发生的一些相关事件。
4月27日
担心中国黑客发动五一大攻击美国军方高度戒备
据一位国防部官员称，为防范黑客攻击，美国太平洋司令部已将其信息系统面临威胁状况的等级由一般提升至A级，这样有关人员会随时对网站的运营情况进行密切关注。同时，美国军方到5月2日左右还可能将上述威胁等级由A级提升至B甚至C级，一旦提升到B级，那么用户登陆所有军方网站时就会受到限制，而C级则意味着军方网络系统不会保持时刻在线。威胁等级最高一级为D级，届时整个军方系统将全部关闭。
4月28日
美国联邦调查局下属的国家基础设施保护中心（NIPC）在美国当地时间26日（北京时间27日）就〃中美黑客大战〃发布文件。
4月29日
美国劳工部及卫生部网站遭到中国黑客攻击
就在美国联邦调查局（FBI）刚刚警告称中国黑客有可能对美国网站发动进攻之后，几个由美国政府机构运营的网站就于当地时间4月28日遭到了攻击。
4月30日
中国红客联盟将在今晚9：00打响〃反击战〃
近日，〃中国红客联盟〃主页上张贴了通知，其主持人Lion召集〃联盟〃全体成员4月30日晚7：00召开〃攻击美国网络动员大会〃，讨论五一期间攻击美国网站的计划。
5月1日
中美黑客大战再升级美白宫官方网站遭攻击
安全专家表示，美中黑客之间的网络大战在当地时间4月30日愈加升级，其中美国白宫的官方网站遭到电子邮件〃炸弹〃的攻击，同时若干个美国和中国网站页面均被改得面目全非。
又有网站遭攻美方称中国黑客提前发动战争
据报道，美国能源部在新墨西哥州的一家下属网站当地时间4月30日凌晨（北京时间4月30日下午）被人用几条反美标语涂改，其它几家政府网站，包括美国劳工部的网站也遭到了类似袭击。黑客们在美国能源部的网站上留下了〃伟大的中华民族万岁！〃、〃美国必须对撞机事件负完全责任〃、〃抗议美国向台湾出售武器，破坏世界和平！〃等标语。
5月2日
中美黑客大战升级两天之内700多家网站被黑
经过一天一夜的攻击，在记者昨晚10时发稿前，在中国红客联盟公布被黑美国站点的网站上，被〃攻陷〃的美国站点已达92个，而来自网友信息，被黑的中国站点则已超过600个（包括台湾地区的网站）。据分析，由于一些红客没能将所黑的网站及时报上，因此中美被黑站点比例大约在1：3左右。
5月3日
据美国网络安全专家称，中国黑客在广泛扩充攻击队伍，并在网上提供一种叫〃杀死美国〃的黑客工具，但他们只是在教人们如何涂改页面，并没有对网站进行拒绝服务攻击（denial of service）。
中国黑客：美国黑客不罢手我们反击会升级
美国黑客对中国网站展开攻击，引起广东黑客参与〃五一大反击〃，对于此次攻击，有黑客表示，目的不仅仅是反击，更多地想暴露目前中国网站存在的严重安全问题，引起各方高度关注。
5月4日
中国黑客对美展开反攻数千家美国网站被黑
在这俩天的攻击中，受损的主要是商业网站即以〃〃作后缀的网站。政府〃。gov〃和机构〃〃相对较少，教育部门〃。edu〃并未触及。
〃中国红客〃自发反击今天发动〃大冲锋〃
来自美国的消息称，随着中国〃五四〃青年�
