追踪狡猾的黑客：40年后 – Cliff Stoll [视频]

**简而言之：** 1986年，天文学家克利夫·斯托尔注意到一笔75美分的会计差错，这引导他揭露了一名潜入军事网络的高级黑客，并由此展开了一场持续一年、预算紧张的早期互联网间谍调查。 ## 75美分的异常 1986年8月8日，克利夫·斯托尔担任劳伦斯伯克利国家实验室的系统管理员，在ARPANET初期负责管理一个VAX计算机集群。在调查一个崩溃的会计程序时，他发现了75美分的差额。作为CIS经理和唯一应负责添加新用户的人员，斯托尔意识到出了问题。他怀疑有入侵者获取了系统访问权限。 ## 布设陷阱 面对零预算、未获正式授权且缺乏计算机安全专业知识的情况，斯托尔采取了创造性的低技术方案。部门会议后，实验室主任戴维·雪莉批准了他的计划：“我允许你调用所有设备、所有时间、所有需要的资源来捕获这个漏洞。需要的话可以花三周时间。”斯托尔决定不直接阻断入侵者，而是对其进行监控。 他借来推车，从实验室各办公室“征用”打印机和电传打字机，使用Radio Shack鳄鱼夹将它们连接到VAX设备上。这创建了所有活动的实体硬拷贝日志。随后他睡在地下室嗡嗡作响的设备旁的睡袋里，带着一保温壶意式蔬菜汤，等待入侵者再次出现。 ## 调查启动 次日早晨，打印记录揭示了入侵者的手法：他们利用`cron`定时脚本触发`set user ID to root`命令，将权限提升至root级别，绕过计费系统，并通过实验室的思科路由器连接至军事网络。从那里开始，他们系统性地搜索弹道导弹、钚元素和核武器信息——这种从加州伯克利发起的调查令人费解。 当斯托尔联系FBI时，对方问道：“你损失了多少钱？”他回答：“大约75美分。”探员告诉他损失50万美元后再来电。在没有外部支援的情况下，斯托尔继续独自追查。 ## 技术追踪与线索 斯托尔采用多种方法追踪黑客： * 他用电烙铁改造摩托罗拉寻呼机，通过串行线路分析器的DTMF信号接收摩尔斯电码警报（每当入侵者登录时触发）。 * 他注意到入侵者立即使用Unix `ps`命令查看运行进程——这是一种防御性检查。斯托尔观察到入侵者使用`ps -GXUA`参数，而`-G`标志并非标准BSD Unix选项。这暗示入侵者使用的是AT&T System V系统，这一线索“立即指向了伯克利之外”，因为本地系统采用BSD。 * 他使用旧的惠普泰克示波器测量Telnet连接的往返数据包时间，平均为2.84秒。根据光速计算延迟后，他确定源头距离约40万公里——他注意到这个数字接近地月距离（38万公里），但最终这条线索未能取得突破。 ## 追踪连接 经过数周监控，斯托尔将连接追溯到一家名为MITRE的公司——这是弗吉尼亚北部一家自称具有“物理隔离”安全系统的国防承包商。CIS管理员否认任何入侵可能性。斯托尔坚持追查，并威胁诉诸媒体。MITRE随后拔掉了调制解调器，迫使黑客寻找替代入口路径，最终通过X.25链路实现。 关键突破出现在入侵者下载实验室加密的`/etc/passwd`文件时。几天后，黑客使用新破解的账户登录。斯托尔意识到自己正面对一个具备密码破解能力的人。他一丝不苟地在实验室笔记本上记录一切，并写道：“在天文学领域，经验法则是——若未记录，等于未发生。” 来源：追踪狡猾黑客：40年后 – 克利夫·斯托尔 (https://www.youtube.com/watch?v=656058JxTM0)