蜜罐------------------------------------------，“天網(wǎng)”基地地下一層。，也更冷。空調(diào)系統(tǒng)將溫度恒定在18攝氏度，是為了服務(wù)器散熱。霍林穿著林靜給的軍大衣，還是覺得指尖發(fā)涼。，里面裝著剛剛組裝完成的蜜罐系統(tǒng)。二十臺(tái)服務(wù)器組成集群，通過光纖連接成一個(gè)獨(dú)立的網(wǎng)絡(luò)。機(jī)柜側(cè)面貼著標(biāo)簽：“蜜罐實(shí)驗(yàn)區(qū)-絕密”。。每個(gè)人眼睛都布滿血絲，但沒人說累。“網(wǎng)絡(luò)拓?fù)浯_認(rèn)完畢。”一個(gè)年輕技術(shù)員報(bào)告，“所有節(jié)點(diǎn)單向連接，物理光閘已啟用。數(shù)據(jù)只能從入口進(jìn)，不能從出口出。模擬支付接口部署完成。”另一個(gè)技術(shù)員說，“用了央行提供的測試環(huán)境鏡像，和真實(shí)系統(tǒng)相似度99.7%。”，屏幕顯示著蜜罐的實(shí)時(shí)狀態(tài)：一切正常，等待連接。“攻擊流量引流配置好了嗎？”他問。：“防火墻規(guī)則已經(jīng)修改，將來自柬埔寨IP段的偽裝流量，百分之十引流到蜜罐。比例不能太高，否則容易被察覺。百分之十夠了。”霍林說，“我們要的是樣本，不是全部。”。機(jī)柜里的服務(wù)器風(fēng)扇同時(shí)加速，發(fā)出低沉的嗡鳴。屏幕上，數(shù)據(jù)流開始出現(xiàn)——綠色的代表正常訪問，紅色的代表攻擊流量。很快，紅色線條越來越多，像血管一樣在網(wǎng)絡(luò)拓?fù)鋱D上蔓延。“流量進(jìn)來了。”林靜盯著屏幕，“第一個(gè)連接……是偽裝成*****的數(shù)據(jù)包。”。表面看，它完全符合支付寶的接口規(guī)范：正確的商戶號(hào)、合法的數(shù)字簽名、標(biāo)準(zhǔn)的**ON格式。但他在交易金額字段發(fā)現(xiàn)了一個(gè)異常——金額是“0.01元”，但小數(shù)點(diǎn)后跟了二十個(gè)零。“這是緩沖區(qū)溢出測試。”霍林說，“攻擊者在試探系統(tǒng)對(duì)超長數(shù)值的處理方式。如果系統(tǒng)沒有做長度檢查，這個(gè)數(shù)字可能會(huì)溢出，導(dǎo)致內(nèi)存錯(cuò)誤。”，然后繼續(xù)觀察。接下來的半小時(shí)，蜜罐收到了上百種不同的攻擊試探：SQL注入嘗試、文件包含漏洞探測、會(huì)話固定攻擊、甚至還有嘗試上傳We*shell的請(qǐng)求。
每一種試探，都精準(zhǔn)地瞄準(zhǔn)支付系統(tǒng)可能存在的弱點(diǎn)。
“這不是隨機(jī)掃描。”霍林對(duì)林靜說，“攻擊者對(duì)目標(biāo)系統(tǒng)非常了解。他們知道用的是Oracle數(shù)據(jù)庫，知道應(yīng)用服務(wù)器是Tomcat，知道API接口的版本號(hào)。這是有**，還是……”
他想起在硅谷時(shí)聽說過的一種攻擊手法：供應(yīng)鏈滲透。黑客不直接攻擊目標(biāo)，而是攻擊為目標(biāo)提供軟件或硬件的供應(yīng)商，在產(chǎn)品出廠前就植入后門。
“查一下支付系統(tǒng)的供應(yīng)商清單。”霍林說，“特別是數(shù)據(jù)庫中間件和API**的提供商。”
林靜立刻去查。霍林繼續(xù)分析蜜罐捕獲的數(shù)據(jù)。他發(fā)現(xiàn)了一個(gè)規(guī)律：所有攻擊試探，都在嘗試觸發(fā)同一個(gè)函數(shù)——交易日志記錄函數(shù)。
為什么是日志記錄？霍林皺眉。日志通常只記錄信息，不執(zhí)行敏感操作。除非……
他打開蜜罐模擬的日志記錄模塊代碼，一行行檢查。突然，他瞳孔一縮。
找到了。
在日志寫入文件的那段代碼里，有一個(gè)不起眼的字符串格式化函數(shù)：sprintf。這個(gè)函數(shù)如果使用不當(dāng)，會(huì)導(dǎo)致格式化字符串漏洞——攻擊者可以控制格式化字符串的內(nèi)容，從而讀寫任意內(nèi)存地址。
而這段代碼的寫法，恰好是危險(xiǎn)的：sprintf(log_*uffer, user_input);
用戶輸入直接被用作格式化字符串。
“漏洞在這里。”霍林指著屏幕，“但不是后門，是開發(fā)人員無意中留下的*ug。攻擊者發(fā)現(xiàn)了它，正在嘗試?yán)谩！?br>“能修復(fù)嗎？”林靜問。
“能，但需要修改源代碼，重新編譯部署。”霍林說，“支付系統(tǒng)的開發(fā)商是哪家？”
“金盾軟件，國企。”林靜調(diào)出資料，“他們的總部就在北京，我們可以直接聯(lián)系。”
“不。”霍林搖頭，“先別打草驚蛇。如果攻擊者已經(jīng)知道這個(gè)漏洞，我們一修復(fù)，他們就會(huì)察覺蜜罐的存在。我們要利用這個(gè)漏洞，反過來追蹤他們。”
他有了一個(gè)大膽的想法。
“修改蜜罐的日志記錄模塊。”霍林說，“保留漏洞，但在漏洞觸發(fā)時(shí)，不執(zhí)行攻擊者期望的操作，而是執(zhí)行我們預(yù)設(shè)的代碼——比如，在返回給攻擊者的數(shù)據(jù)包里，隱藏一個(gè)追蹤信標(biāo)。”
“追蹤信標(biāo)？”林靜沒聽懂。
“一種隱蔽的標(biāo)記。”霍林解釋，“在****響應(yīng)頭里加一個(gè)特殊的Cookie，或者修改某個(gè)圖片文件的像素值，或者嵌入一段只有特定設(shè)備能接收的***信號(hào)。攻擊者的工具收到這些標(biāo)記后，會(huì)在后續(xù)通信中無意間攜帶它們，我們就可以反向追蹤。”
技術(shù)員們面面相覷。這個(gè)思路太刁鉆，也太冒險(xiǎn)。
“如果被識(shí)破呢？”一個(gè)技術(shù)員問。
“所以我們不能用常見的追蹤手段。”霍林說，“要用他們想不到的。”
他想起在硅谷時(shí)參與的一個(gè)實(shí)驗(yàn)項(xiàng)目：基于CPU微架構(gòu)差異的設(shè)備指紋識(shí)別。每臺(tái)電腦的CPU，由于制造工藝的微小差異，在執(zhí)行相同指令時(shí)，會(huì)有納秒級(jí)的時(shí)間差。這種差異就像人的指紋一樣，獨(dú)一無二。
如果能在蜜罐的響應(yīng)中，嵌入一段精心設(shè)計(jì)的計(jì)算任務(wù)，讓攻擊者的電腦去執(zhí)行，然后通過計(jì)算耗時(shí)反推CPU特征……
“給我兩個(gè)小時(shí)。”霍林說，“我寫一個(gè)腳本。”
他回到辦公室，關(guān)上門。窗外模擬的夜景已經(jīng)切換到凌晨模式——深藍(lán)色的天空，幾顆星星，遠(yuǎn)處有隱約的燈光。
霍林打開自己的加密筆記本電腦，連接基地的研發(fā)網(wǎng)絡(luò)。他的手指在鍵盤上飛舞，代碼像流水一樣從指尖傾瀉而出。
這不是普通的編程，這是藝術(shù)。他要在幾十行代碼里，實(shí)現(xiàn)一個(gè)完整的CPU特征提取算法，還要把它偽裝成正常的網(wǎng)頁J**aScript，讓攻擊者的瀏覽器自動(dòng)執(zhí)行。
難點(diǎn)在于隱蔽性。代碼不能太大，否則會(huì)被安全軟件檢測；不能有明顯特征，否則會(huì)被攻擊者的人工**發(fā)現(xiàn)；還要能在各種瀏覽器、各種操作系統(tǒng)上穩(wěn)定運(yùn)行。
他寫了一個(gè)小時(shí)，測試了三次，都失敗了。要么代碼被瀏覽器攔截，要么提取的特征不夠精確。
**次嘗試時(shí)，他換了個(gè)思路。不直接測量CPU時(shí)間，而是測量內(nèi)存訪問延遲。現(xiàn)代CPU都有多級(jí)緩存，訪問不同層級(jí)緩存的速度差異很大。通過設(shè)計(jì)特定的內(nèi)存訪問模式，可以探測出緩存的大小和結(jié)構(gòu)，這也是重要的設(shè)備特征。
這次成功了。代碼只有5K*，看起來就像普通的頁面統(tǒng)計(jì)腳本。但它在運(yùn)行時(shí)，會(huì)悄悄執(zhí)行一個(gè)緩存探測序列，然后將結(jié)果編碼成一個(gè)32位的哈希值，隱藏在后續(xù)請(qǐng)求的Referer字段里。
霍林把代碼上傳到蜜罐服務(wù)器，配置好觸發(fā)條件：只有當(dāng)攻擊者嘗試?yán)萌罩韭┒磿r(shí)，才會(huì)返回這段特殊代碼。
“準(zhǔn)備好了。”他在內(nèi)部通訊里說，“可以放開流量限制了。”
林靜將引流比例從10%提高到30%。更多的攻擊流量涌入蜜罐，屏幕上的紅色線條幾乎連成一片。
等待是煎熬的。霍林盯著蜜罐的訪問日志，看著一條條記錄刷新。大部分攻擊試探都失敗了——蜜罐模擬的系統(tǒng)雖然保留漏洞，但也做了安全限制，不會(huì)真的被攻破。
直到凌晨四點(diǎn)十七分。
一條特殊的請(qǐng)求出現(xiàn)了。它精準(zhǔn)地利用了sprintf漏洞，傳入的格式化字符串經(jīng)過精心構(gòu)造，試圖覆蓋內(nèi)存中的函數(shù)指針，從而執(zhí)行任意代碼。
蜜罐“中招”了——當(dāng)然，是假裝中招。它返回了一個(gè)看似正常的錯(cuò)誤頁面，但頁面里隱藏著霍林寫的追蹤腳本。
攻擊者的工具收到了這個(gè)頁面，解析，執(zhí)行。五秒鐘后，蜜罐的日志里出現(xiàn)了一條新的記錄：來自同一個(gè)IP的后續(xù)請(qǐng)求，Referer字段里多了一串奇怪的編碼——c3a*8a137e1038d9a9a1f8c5e6*7a2d1。
“抓到了！”霍林幾乎從椅子上跳起來。
他**那串哈希，得到了一組CPU緩存參數(shù)：L1緩存32K*，L2緩存256K*，L3緩存8M*。這是英特爾酷睿i7-9700K處理器的典型配置。
“攻擊者用的是一臺(tái)搭載i7-9700K的電腦。”霍林說，“而且從請(qǐng)求間隔時(shí)間看，那臺(tái)電腦在境外，延遲大約200毫秒。”
“能定位嗎？”林靜問。
“暫時(shí)不能，但有了這個(gè)指紋，只要那臺(tái)電腦再次出現(xiàn)，我們就能認(rèn)出來。”霍林說，“而且，攻擊工具顯然有自動(dòng)化功能，它會(huì)保存會(huì)話狀態(tài)，包括我們植入的Cookie。下次它攻擊其他目標(biāo)時(shí)，我們可能還能看到它。”
天快亮了。窗外模擬的天空漸漸泛白，基地里的燈光自動(dòng)調(diào)暗，切換到日間模式。
霍林靠在椅背上，長長地呼出一口氣。連續(xù)工作了十八個(gè)小時(shí)，他的大腦已經(jīng)超負(fù)荷運(yùn)轉(zhuǎn)，太陽穴一跳一跳地疼。但他心里有一種久違的興奮——那是解出一道難題、打贏一場戰(zhàn)斗的興奮。
辦公室門被推開，李處長端著早餐進(jìn)來：豆?jié){、油條、茶葉蛋。
“聽說有進(jìn)展？”他把早餐放在桌上。
霍林匯報(bào)了追蹤信標(biāo)的成果。李處長聽完，沉默了一會(huì)兒。
“你比我想象的還要厲害。”他說，“但記住，這只是開始。‘棱鏡’不是一般的黑客組織，他們背后有**級(jí)的支持。你今天挫敗了他們一次試探，明天他們就會(huì)換一種方式。”
“我知道。”霍林咬了一口油條，酥脆，溫?zé)幔八悦酃抟恢遍_著，而且要不斷升級(jí)。我們要讓他們以為漏洞還在，但實(shí)際上，每一個(gè)漏洞都是陷阱。”
“像捕獸夾。”李處長比喻。
“更像蜘蛛網(wǎng)。”霍林糾正，“靜靜地等，來了就粘住，然后順著線找到老巢。”
窗外，模擬的太陽完全升起來了，金色的光灑滿房間。基地里，新一天的工作已經(jīng)開始。主控大廳的屏幕上，全國網(wǎng)絡(luò)流量圖又開始活躍，早高峰即將到來。
霍林吃完早餐，洗了把臉，重新坐回電腦前。屏幕上，蜜罐的日志還在實(shí)時(shí)刷新。那條攜帶追蹤信標(biāo)的IP，已經(jīng)兩個(gè)小時(shí)沒有出現(xiàn)了。
但它一定會(huì)再來的。
就像獵人知道，受傷的野獸總會(huì)回巢。
霍林打開一個(gè)新的代碼文件，開始編寫下一個(gè)陷阱。他的手指在鍵盤上敲擊，發(fā)出有節(jié)奏的聲響，像心跳，像鐘表，像這個(gè)永不眠的基地里，無數(shù)守護(hù)者共同的脈搏。
天亮了，戰(zhàn)斗還在繼續(xù)。