笔趣阁

第64页（第1页）

一个小时后，私信收到回复。　　回复里没有文字，只有一个烈焰红唇的表情。　　当天夜里，林昱在专案组的会议上，正式将“嫌疑人可能就是谢戎，而且他现在极有可能就身在北江”的结论抛上了台面。　　只是在阐述的过程中，他隐去了所有因到容川和谢戎因私人关联而得出的推论，而是拿出了一套更加合法合规，也更不容置疑的证据。　　在通过犯罪者画像锁定了嫌疑人就是谢戎后，林昱调取了当年晟荟金融案卷宗里保存的谢戎的历史攻击样本。经过比对，晟荟金融案中，谢戎留下的技术痕迹里，同样存在“6分23秒”的时间戳偏移，这与东信金控案中的指令格式完全一致。　　与此同时，两起案件的代码风格、变量命名习惯、指令结构也具有高度一致性。　　由此可以推测，东信金控案背后的操控者，就是谢戎。　　在详实的证据面前，专案组认可了林昱的判断，并迅速调整了侦察方向，开始进行ip溯源，力求尽快将谢戎找出来。但谢戎显然为这次行动做好了充分的准备，不仅使用了动态ip，而且将真实ip隐藏在层层代理和境外服务器之后。　　专案组通过技术手段锁定了几个可疑ip后，申请了运营商协查，最后却发现要么是虚假信息，要么指向与案件无关的公共节点或被盗用的家庭网络。　　案件就此陷入了僵局。　　追查谢戎的过程中，警方究竟付出了多少的努力，遭遇了多少的挫败，容川并不清楚，但他知道的是，事情的进展并不像他期盼的那样顺利。　　网络上对于宋晏平的声讨还在发酵，有人甚至翻出了当年晟荟金融案，直指他早有前科，是个顶着“专家”名号，实则与黑客内外勾连，诈取数据信息，非法获利的骗子。也有很多损失惨重的股民将满心的愤怒转移到了警方身上，怒斥他们拿了纳税人的钱，却根本无所作为。　　公众所期盼的那张蓝底白字的官方通报始终没有出现，这就意味着，谢戎依旧藏在暗处，未曾现身。　　容川甚至不知道他是已经觉察到了警方的行动，就此藏匿，还是干脆已经再次出境，彻底摆脱了警方的管控。　　在此期间，容川好几次想要给林昱打个电话，问问事情的进展，但他终究还是忍住了。　　对方送出的那份脱敏报告，已经是他在警察的身份下，能够合规操作的极限，即便没有触碰红线，也是冒了巨大的风险。　　他所做的一切，是基于对自己的爱和信任，所以无论如何，他不能去破坏这份温柔的默契，也不能打破这份微妙的平衡。　　但容川也不想继续这样等下去了。　　警方有自己的办事规则，为了确保程序正义，他们的行动会被许多的条条框框所束缚着。可他只是一个普通人，他的行动只为自己负责，也因此拥有更大的自由。　　作为谢戎曾经的室友，没有人比他更了解对方。所以在警方的动作受阻的情况下，他决定用自己的方式找到谢戎。　　拿定主意后，容川打起精神，做了一个“蜜罐”。　　所谓“蜜罐”，通俗地说，就是一个被精心伪装的诱捕陷阱。它有登录界面、有数据库、有开放端口，看起来就像一个真实的系统。但事实上，它没有真正的数据，也没有真实的用户，所有的功能都是假的。　　在网络安全领域，蜜罐通常被安全团队用来研究攻击者的手法，或者用来收集攻击证据。当攻击者踏进蜜罐后，系统会在毫秒级的时间内记录下他的所有操作，包括他从哪里来、用了什么工具、执行了什么指令。　　他将会在这个系统里留下自己的行为指纹。　　对于这样一个系统，即便熟练如容川，通常也要花费两周的时间。更何况这个蜜罐是他专门为谢戎定制，更是半点马虎不得。　　索性溯影科技作为一家专业做红队服务的公司，内部有大量现成的测试环境模板。容川舔着脸皮找周祁要了一个，修改了配置参数和暴露特征，仅仅用了两天时间，就让它变成了一个与“慧眼”十分类似的系统。　　“蜜罐”制作完毕后，容川将它放置在了一个完全隔离的私有网络中。紧接着，他披着马甲在包括归墟网在内的大量网络安全相关的专业网站上发帖——帖子的标题是《东信金控的慧眼系统，入侵方式也不过如此》。　　正文里是两句英文——蜜罐（2）　　接下来的两天，容川都表现得很正常。他正常坐在工位上干活，正常和周祁讨论项目进度，正常和程嘉树在食堂吃饭。　　只是他的手机一直在手里拽着，铃声开到了最大。一旦报警的铃声响起，他就会立马拿起来看看。　　那两天的时间里，报警铃响过两次：第一次是爬虫，第二次是扫描器，都是无目的的网络噪音，在蜜罐的表面碰了一下就离开了。　　他有点失望，却依旧保持着耐性。　　在此期间，林昱显然是看到了那个帖子，给他发来了他们分开后的第一条微信。微信里只有三个问号：？？？　　他知道那三个问号意味着什么——你他妈是不是疯了？你究竟想干什么？为什么不提前知会告诉我？　　但他只是看了一眼，却没有回复。　　以林昱的能力和对他的了解，自然知道他想干什么。如果对方不是警察，没有那么多规则束缚，大概也会采用和他同样的方式，自己动手做一个。　　但林昱的身份、立场、和身上所背负的责任，都注定了他需要规避很多事。一旦回复就会开启对话，而对话会把两人都拉进一个无法合法运转的处境里。　　所以如今的沉默本身就是一种回应——他知道自己在做什么，一切与警方无关，他会保护好自己。　　次日凌晨三点二十四分，容川正迷迷糊糊的躺在周祁那间独立办公室的床上，报警的铃声忽然响起。　　他的身体比意识先动，第一瞬就抓起了手机。屏幕上是报警脚本推送的一行字：检测到异常访问，入口路径匹配。来源ip已记录。　　他盯着那行字看了几秒，翻身下床冲到了电脑前。因为脚步太慌乱，中途他甚至撞倒了周祁放在办工作上的茶杯。　　电脑屏幕上是蜜罐的实时日志界面。最新一条记录显示：某ip在凌晨3点24分访问了蜜罐。　　访问路径直指他留下的那个入口，而且没有试探，也没有扫描外围，是直接进去的。　　容川点开详细日志：攻击者在蜜罐内部停留了大约九分钟。前两分钟在浏览，最后七分钟访问了那段包含加密文本的代码。　　容川迅速打开了蜜罐后台，确认那行注释里的加密文本确实已经被查看了。　　为了追查谢戎的真实ip，容川提前做了一个设计：这段加密文本，放在了一个需要特定环境才能完整加载的位置。　　谢戎如果使用跳板访问，能看到系统外观、端口、和基础结构，但这段内容却无法完整读取的。　　他当然可以绕过，但容川知道他不会。因为他在论坛上看到那篇帖子时，就已经被“不过如此”踩中了神经。　　当他进入蜜罐后，发现设计者对他攻击路径的拆解分析就藏在那段无法直接加载的内容里后，他一定会想了解全貌。