作者：何岸 

来源：世界华人周刊

（微信号: wcweekly）

黎巴嫩首都贝鲁特是中东的银行业中心，面对网络攻击不堪一击。

世界顶级黑客杰森正在为下一次行动做准备。对他来说，窃取你的社交网站账号、银行账户等私密信息都是轻而易举的事。不过别怕，他是一名白帽黑客。

他的两个白帽黑客伙伴哈利勒和达伦已经准备就绪。对面那家银行就是他们的下一个攻击目标。

过去5年间，杰森、哈利勒和达伦受雇于全世界多家公司，合法地对这些公司发动网络攻击，以便发现其网络漏洞并加以弥补。这一次，他们受到贝鲁特一家著名银行的邀请，来测试银行的安全系统。

· 01 ·

采购工具

一个月前，他们在美国拉斯维加斯DEFCON黑客大会上采购到不少新的网络攻击设备。

达伦自己就是来参加黑客大会的，他发明了一种名叫“WiFi菠萝”的装置，可以对WiFi下手，将恶意连接点伪装成咖啡馆或者酒店等公共场所的WiFi信号。当你连上这些WiFi信号时，就相当于把自己手机的控制权拱手交给了黑客。

更可怕的是，这类攻击装置的售价还不到100美元。

他们从参加黑客大会的另一名网络专家那里买到了一套尚未公开的“社会工程工具箱”。“社会工程”是行话，指的就是“操纵他人泄露机密信息的手段”。

这个优盘的绰号叫“橡皮鸭”，它看上去很普通。

但是，它一旦插上电脑，不会出现驱动器号，而是会伪装成键盘，从后门进行输入。然后电脑会显示命令提示符，创建大量可执行文件，然后就会运行。

如果在一家公司的一台电脑上插入“橡皮鸭”，整个公司的电脑网络就会立刻瘫痪。

他们带着这些最新黑客工具来到贝鲁特，准备对邀请方银行旗下的多家分行“下手”。

· 02 ·

侦察行动

“下手”前的第一步是侦察，必须了解银行建筑内部布局。他们从网上搜到了目标银行的照片。

这是其中一家银行的门口。

进门后就会看到门厅里的两台自动柜员机。

再往里走，就来到这个大厅。

办公区是这样的。

这些照片都是在互联网上搜索到的。光有这些照片还不够，还要现场侦察一番。

达伦胸前别着钮扣摄像机，包里装着“WiFi菠萝”，走进一家银行。钮扣摄像机把银行柜台的位置都拍了下来。

到这边的机器上取一个排队号码。

这时，达伦用手机把“WiFi菠萝”设置成“攻击”模式，“WiFi菠萝”会创造一个恶意WiFi信号，冒充银行的WiFi。以前连过银行WiFi的手机、平板电脑、笔记本电脑等所有设备，都会自动连上假冒的恶意WiFi信号。达伦从自己的手机上就能看到有哪些设备连上了恶意WiFi信号，然后就能对这些设备进行操纵。

在侦察过程中，达伦还发现，银行内部工作区与外部之间只隔了一扇门，门没有上锁，也不用刷卡，工作人员们进进出出十分随意。这明显是银行安全管理上的一个漏洞。

侦察完毕，一切准备就绪后，就要正式实施“攻击”了。世界各大顶级IT公司的证件，杰森应有尽有。

他们使用的网络攻击优盘“橡皮鸭”也是经过精心准备的。

“橡皮鸭”里没有恶意软件，不会造成银行瘫痪，但会起到安全警示教育作用。白帽子黑客的目的就是让客户看到，不重视数据安全问题会造成什么样的严重后果。

白帽子黑客很希望自己的攻击行动失败，失败就意味着客户的安全防护工作很到位。白帽子黑客的成功，就意味着客户存在严重的安全防护漏洞。

· 03 ·

正式攻击

正式发起攻击的时间到了。三位白帽子黑客要试探一下进入银行内部工作区的难易程度、银行系统的抗攻击能力，以及被发现后逃跑的可能性。

这次行动只有银行总部的几名高管知道。他们向每家分行派了一名银行卧底代表，以免出什么差子。除此之外，分行行长和柜员都不知道接下来会发生什么。

上次进入银行执行侦察任务的是达伦，所以正式攻击时换成杰森上场。

杰森走进银行。

内部工作区的门敞开着，他毫不费力就走了进去。

他径直走到最里面的电脑桌前，坐了下来，没有受到任何询问和拦截。

他把“橡皮鸭”插入电脑，整个过程如入无人之境。

于是，他想进一步提高测试力度。他对旁边的柜员说：“打扰了，我们要检查一下USB权限。”这名柜员没有提出任何质疑。

杰森对每名柜员都提出了同样的检查要求，都没有受到质疑。

杰森本来只准备对一台电脑下手，然后就走人。但在实际攻击中，除了休息室的烤面包机和咖啡机，其他能下手的设备他全都下手了。如果那个优盘里真的有恶意软件，那后果不堪设想。

在另一家银行，杰森冒充微软公司的技术人员，来帮银行提高网速，成功将“橡皮鸭”插入了每台电脑。银行工作人员甚至还请杰森去楼上机房调试银行的网络服务器。

与此同时，达伦和哈利勒在银行对面找了块空地，准备利用“WiFi菠萝”攻破银行的无线网络。

不一会儿，就有211个SSID已经进入地址池。如果他俩真是坏人，那些连入假银行Wifi的设备就全完蛋了。

最后，他俩成功攻击了银行职员近300台无线设备。

这次行动中，三位白帽黑客一共攻击了3家银行分行，只在1家失败了。

在这家银行里，当杰森表明自己是总部派来的，需要迅速检查一下银行电脑时，遭到了工作人员的阻拦。工作人员叫来了主管领导，要求他出示各种证件。

杰森借口证件都在车上，趁机溜走了。

· 03 ·

事后总结

行动结束后，杰森和一名银行代表返回每一家分行，揭密真相。工作人员得知真相后，个个都大吃一惊。

杰森和哈利勒向银行总部负责人作了约3小时的汇报，并提出安全防护措施建议。

出于安全考虑，本次白帽黑客攻击行动的细节均已略去。目前，该银行已实施新的规章制度和新的防护措施。

面对日益高深网络罪犯技术和日益严峻的网络威胁，无论是个人，还是政府、企业和军队都存在软肋，都可能成为黑客的攻击目标。据估计，企业发现己方数据泄漏和遭受网络攻击的概率只占6%，而且发现时间往往是在事发半年后。作案人员因网络犯罪而被绳之以法的可能性大约只有百万分之一。到2019年，网络犯罪预计将给全球经济带来2万亿美元的损失。

魔高一尺，道高一丈。网络空间的较量就是矛与盾的较量、攻与防的较量。而白帽黑客既要打造尖锐的矛，也要铸成坚硬的盾，因为他们在攻破网络安全系统之后，还要想办法防，然后再攻、再防。

在白帽黑客看来，世界上好人远比坏人多，只有让更多的好人加入到网络安全工作中来，与政府和安全官员合作，我们的网络技术才会拥有一个光明的未来。

来源：世界华人周刊