2010年1月7日,大雪刚过,滴水成冰。北京市丰台区人民法院刑事审判庭,正在审理一起涉嫌破坏计算机信息系统的案件。面孔清瘦的被告人、原北京教育考试院职工孟某在法警押解下走向被告席,见到众多媒体,显得不知所措。丰台区人民检察院以破坏计算机信息系统罪将孟某提起公诉,面对公诉人的指控,孟某低下头:“我认罪,我以前之所以不敢承认,是因为害怕,但证据证明是我做的,我没法再逃避了,我对我的行为感到后悔。”
　　孟某是北京市首个被公诉的“黑客”。此案得到了媒体的广泛关注,被称为京城“黑客”第一案。
　　
　　离奇的曝光过程
　　
　　此案的曝光颇为曲折,要从2008年年底湖北省宜昌市某单位公开招考两名公务员的一次考试说起。考生小丽以笔试第一名、面试第三名的成绩入围,然而最终结果却令她失望,小丽以0.1分之差落选。在接下来的复核过程中,小丽发现挤掉自己的是一名叫晓倩的女生,因为晓倩有一张《全国计算机等级证书》(二级),增强了她的实力,使得她的分数一下子多出1.5分。
　　出于某种考虑,小丽对这份证书进行了查证。晓倩是2006年从武汉某专科学校毕业的,然而从其计算机等级证书编号可以看出,晓倩是2007年4月份以学生身份在北京参加计算机考试的。细心的小丽从北京市的全国计算机等级考试查询系统中挑选了多份考生的信息进行查询,这些考生均有记载,然而在对晓倩的证书查询后,却没有找到任何相关信息。于是,小丽向招考单位举报,要求复查。
　　然而就在举报后的第三天,也就是2008年12月9日,晓倩回复说她的证书能在网上查询了,对此,北京教育考试院社会考试办公室计算机考试科解释:之所以前几天晓倩的证书查不到,是因为网络出现了故障。
　　面对如此答复,执著的小丽并不满意。她指出既然是网络故障,为什么当时其他人的证书可以查询,而偏偏晓倩的查询不到,她联想起社会上有出售假证书的情况,听说购买一份假的计算机证书只需要200元到300元,即使购买能够网上查询的,也只要花费4000元至5000元,并且该证书不仅能从官方网站查询到,即便是从教育系统的内部网站上,也绝对可以查询到。除此之外,小丽还听说,当招工单位调查人员询问情况时,晓倩竟不能提供在北京的考试地点及周边情况,她推说自己忘记了。但距离考试也不过才一年多的时间,忘记了考点是不可能的。另外有了解内情的人说,晓倩毕业后从来没有去过北京找工作,因此也根本不会千里迢迢到北京去参加计算机考试。根据这一系列的疑问,小丽怀疑晓倩的证书是假的,于是,2009年3月10日,小丽委托亲友给北京教育考试院写了一封举报信。
　　接到举报后,北京教育考试院立刻调集计算机工程师进行调查。调查的结果令考试院领导大吃一惊:真的有人闯入考生数据网进行了删改。
　　技术人员对网站数据进行确认,经过核实网站在线数据库,当时晓倩的信息确实在网站的数据库中存在,但只有名字。对上网的原始数据进行比对后,技术人员发现原始数据中并没有晓倩的底档,所以可以确定晓倩的证书是不存在的,而是后期通过某些手段添加到网上证书查询数据库里的。
　　该单位核查了系统的最新补丁,排查程序的问题,与系统托管商一起排查分析原因,最后通过网站服务器访问日志和数据库日志,发现有几个可疑的访问。在上千个照片文件中的一个子目录里,隐藏着一个木马病毒的文件,通过该文件不仅能够随意登录网站,还可以修改数据,该木马病毒的功能非常强大。晓倩的数据是在2008年12月9日11点33分被加入到数据网中的。2009年5月21日,北京教育考试院向公安机关报案。
　　
　　发现闯入黑客
　　
　　警方对此高度重视,经过初步调查发现,黑客使用的是更换照片的方式,就是在照片文件中隐藏了木马病毒。通过黑客闯入的数据分析,该用户是典型的上班族,2008年12月7日之前的操作都是在非上班时间段,通过家庭常用的宽带拨号上网来操控木马程序的。2008年12月7日之后也有在上班时间访问的,但都是利用了代理服务器进行访问,有一定的防追踪意识。警方判断,这不是简单的偶然性的篡改数据的事件,而是一起有一定组织和规模的长期作案行为。
　　经过调查,根据“黑客”登录的IP地址找到计算机在北京市丰台区的一座大厦,用户名为李某。警方对李某进行了传讯。李某说自己原来在一家网络公司做会计。后来和孟某结婚后,就辞职在家,再未工作。李某说家里的电脑主要是丈夫孟某使用,自己平时也就上网玩游戏。当李某说丈夫孟某的工作单位就是北京市教育考试院社考部时,现场民警的眼睛一亮,终于找到了目标。同时,警方还从其家中搜出了大量的计算机等级考试合格证空白页。
　　很快,孟某被警方传讯。对于民警的调查,孟某好像是早就有所准备,对答如流。
　　孟某,三十岁,原北京教育考试院社会考试办公室的一名临时工,他2001年7月计算机科学与技术专业大专毕业之后就到了该单位,已经工作7年。据警方从教育考试院孟某的同事处了解到,孟某在考试院工作7年间,没有犯过错误,工作基本都能完成,而且孟某的为人非常低调。他平时不爱与人交流,很少与同事闲聊,也很少与同事聚会等,对于他的情况同事知道得很少。孟某的工作是在社考办计算机科辅助计算机等级考试、全国应用技术证书考试、青少年计算机考试的报名和数据整理、文字录入及接待考生电信咨询等。具体说,就是负责将计算机等级考试等考生的报名信息、照片及考试结果,以刻录光盘的形式送交到教育部考试中心,考试中心反馈一个成绩库上传到考务平台。孟某从考务平台上下载成绩库后,再通过内部的文件上传平台传递给北京教育考试院信息处,信息处再上网处理。
　　可以说,孟某是最有条件接触到数据库的。对于警方的询问,孟某予以否认,甚至以沉默回应。虽然孟某不承认,但是调查的一系列证据都指向了孟某。从孟某的一台台式电脑和一台笔记本电脑中检出了晓倩的信息数据,从考试院数据库访问日志中查询到涉案IP地址使用人正是孟某的爱人李某,接入电话正是孟某家的电话,装机登记地址正是孟某的居住地。从孟某家中起获的计算机等级空白证书也证实了其侵入计算机系统的目的。孟某辩称这些空白证书是已经作废了的,是一次在单位搬家时自己拿回家的,至于拿回家的用途,孟某无法说清。
　　此外,据单位反映,孟某的工资也就1000多元,加上加班费,一个月最多不超过2000元。但是,孟某家不仅还清了20万元的房贷,还买了一辆十多万元的汽车,家里还有存款三四十万元。
　　
　　木马登录修改数据
　　
　　2009年6月18日,孟某因涉嫌破坏计算机信息系统罪,被刑事拘留,同年7月25日被逮捕。起诉期间,孟某对犯罪事实还是拒不供认,检察官们从证据入手,认真审查,又退回补充了一些新证据,形成了完整的证据链。将孟某以破坏计算机信息系统罪,依法提起公诉。
　　法庭上,面对扎实有力的证据,孟某一反往日拒不认罪的态度,向法庭供述作案过程。原来,他是通过QQ认识晓倩的,晓倩说找工作想要个证书,孟某说证书办不了,但可以在网上证书查询系统中给她增加证书内容,使远程查询时能查到她的证书。于是,孟某利用掌握考生报名信息和照片的工作便利,将木马病毒隐藏于存放照片的文件夹中,带入数据库,通过木马程序登录网站,修改数据。孟某还表示,他没见过晓倩,帮她这个忙也没得到什么好处,她只是通过QQ送给他一件网上衣服。
　　事件发生后,北京市教育考试院做了相关补救措施,加强了网站的安全措施,同时总结了此事件的经验教训。他们表示,对于常年在线的应用服务器,安全威胁是最大的,更具隐蔽性。在该类系统架构设计、程序代码上都要重点考虑防范各种入侵的可能性,使得被攻破的可能性大大降低。他们采取了一系列措施,比如,将服务器和数据库服务器要分开部署,尽量不用木马病毒常光顾的IIS应用服务平台,对于敏感数据要加入数字簽名,对于重要的应用服务器加入入侵检测安全系统,对于各种攻击进行主动性的防护等。此外,还对相关技术人员,加强了安全意识的培训教育。
　　“黑客”原来就在身边。但愿此案能敲响警钟,引发人们对于网络黑客活动的认识,提高防范黑客的侵害意识和能力,从而减少“黑客”危害网络社会正常秩序现象的发生。
　　编辑:陈畅鸣[email protected]