研究生黑北京摇号网站 只为泄私愤

2013-10-21 08:30:57 研究生黑网站摇号泄愤

   2012年12月23日凌晨,参与小客车摇号的多位市民收到小客车指标办发来的“短信验证码”,让大家一头雾水。事后,小客车指标办发声明称系统被恶意骚扰。昨日,该事件的“幕后黑手”张利斌在朝阳法院受审。

  非法获取手机号92万个

  昨天一早,被取保候审的张利斌身着黑衣出现在法庭,并未见家人陪同。被告席上,他始终低头,对于公诉机关的指控,他当庭表示认罪。

  据介绍,张利斌1981年出生,硕士研究生文化,毕业后户籍从老家山东文登转入北京市朝阳区。

  公诉机关指控,张利斌于2012年12月23日3时至13时许,在其位于朝阳区育慧的家中,利用计算机网络远程控制技术及自编的计算机程序软件,向北京市小客车指标调控管理信息系统网站“忘记密码”功能中的“获取短信验证码”链接,恶意访问达3000余万次,非法获取网站注册申请人的手机号码92万余个,造成网站向注册申请人的手机号码发送短信验证码92万余条,系统关闭“忘记密码”功能达2小时30分,造成北京市交通委员会短信资费损失4万余元及严重的社会影响,应以涉嫌破坏计算机信息系统罪追究其法律责任。

  攻击网站为发泄不满

  事发后,被告人张利斌被警方控制。张利斌说,攻击指标办网站的原因一是对北京市的摇号政策不满,想要发泄。二是为了获取大量手机号,来群发短信推广自己研发的软件。但是,不仅没有达到推广软件的效果,还触犯了法律。

  追访

  从优等生变“黑客”

  在昨天的庭审上,张利斌自称,“我和爱人都是高级知识分子,虽然有一技之长,但却没有学会如何遵守法律。”这位名牌大学的硕士毕业生为何会走上犯罪的道路?

  “高考状元”创业受打击

  张利斌是山东省文登市人,独生子女,上学时成绩优秀。他供述说,1999年,他以文登市高考第一名的身份考入北航计算机科学与工程专业,并在班里结识了现在的妻子。4年后,他们顺利考上硕士研究生,2006年毕业。次年,两人结婚。

  但是,翻开张利斌的履历,他几乎每年换一份工作。2007年在一家外资企业做软件工程师,2008年做过互联网信息中心软件工程师。在此期间,他擅自改动中国互联网信息中心的互联网域名注册系统,造成个别网络域名不能被别人注册,被警方行政告诫。2009年他再次换工作。

  他说,虽然家庭收入很高,仍感觉生活压力特别大,尤其是生了两个孩子后。按政策,他和妻子不能生二胎,就因为第二个孩子,他把工作辞了待业在家。

  创业期间,他接连遭受打击。第一次是开发了一款叫“小兵挂号”的挂号软件,却很少有人用;第二次是去年9月,他父亲脑梗塞发作住院。因母亲有病,父亲只能住养老院,父母天天吃药还需要人照顾,让没有固定工作的他生活压力更大。

  多次摇号未中想泄愤

  在压力最大时,他偶然间找到了发泄渠道。2012年底,他在一次登录小客车摇号网站时,发现网站“密码找回”功能存在漏洞—随意输入手机号,就可以让系统发送验证码。出于职业特性,他发现网站漏洞后,就考虑着如何利用漏洞做一些对自己有利的事。

  首先,他想到泄愤。他说,自己曾把名下的车卖了获得购车指标后,没有及时换车,指标便过期了,而妻子一直摇号不成功,他逐渐对北京摇号政策不满,想攻击网站。

  其次,他正苦于如何推广“小兵挂号”,希望设计一款软件,通过“获取短信验证码”的方式探测哪些用户注册了摇号系统,以获取大量有效的手机号,群发短信推广他的软件。

  为了完成操作,他花了几天时间:在网上找出了北京地区手机号段的起止范围,找到了5000多万个手机号码,还找了300多个代理IP写入自己的“攻击”程序里。

  23日凌晨,他便进行实操了。通俗讲,就是用他开发的软件模拟“忘记密码”的申请人,在“找回密码”项目中填写手机号。如果输入的手机号是在网站上注册过的摇号申请人,那么,在申请人莫名获得验证码的同时,他在后台能获取“短信验证码已发送”的反馈,可用的号码会自动保存到他的文件里。就这样,他获取了92万余在摇号网站注册的手机号。

  看新闻才知“闹大了”

  “说实话,攻击网站后,第一感觉是出了口气。”凌晨,盯了两个小时电脑后,他睡了。但白天恐惧却袭来。当天中午,交通委发现被恶意攻击,立即弥补了漏洞,同时对此事件发出公告;晚上,相关新闻报道已铺天盖地,张利斌“开始害怕”。

  “新闻报道了这件事,当时我就意识到闹大了。”第一时间,张利斌赶紧改了几个服务器地址,但没改全就因为忙别的事情忘了。

  三天后,他在网上找了短信群发的代理商,花一千多买了2万条群发空间。然后,他在获取的92万余条手机号码中,选择了7000多个号码开始群发短信,推广“小兵挂号”。但还没取得任何效果,他就被警方控制。

  张利斌说,虽然小客车摇号用户与就医用户并非一个群体,但他没有别的推销渠道,“参与小客车指标摇号的用户也是比较有钱的群体,他们也会有生病就医的时候,我就这么做了。”

  非法获取92万余手机号步骤

  1在网上搜出北京地区手机号段的起止范围,找到5000多万个手机号,并写“攻击”程序,还找了300多个代理IP写入程序

  2利用网络远程控制技术及自编软件,在北京市小客车指标调控管理信息系统网站上,模拟“忘记密码”的申请人,在“找回密码”项目中填写手机号

  3如果手机号是在网站上注册过的摇号申请人,该号码会自动保存,如果未注册过,则看到“手机号码未注册”字样。共获取92万余个可用号码

  4在获取的92万余条手机号码中,向其中的7000多个号码群发短信,推广其研发的“小兵挂号”软件

  事件回顾

  2012年12月23日凌晨3时许至中午,许多购车摇号的市民手机上收到了落款“小客车指标办”发送的6位“短信验证码”,一些市民误以为中签了,还有市民认为信息被泄露。随后,小客车指标办在网站发布信息称,发送验证码是系统一项服务功能,对摇号申请人没有影响。之后,又发布“二度声明”称,是系统被恶意骚扰,并强调申请人信息没有泄露。

  说法

  用户信息被利用 网站有责任

  DCCI互联网研究院院长刘兴亮介绍,张利斌的攻击是模拟用户的行为,对于系统来说,就好像一个用户在使用“找回密码”功能,如果网站对这方面防范不强,批量窃取信息很容易实现。

  他举例说,就如同设置邮箱密码的“安全级别”一样,如果用一串数字做密码,用软件从1到10不停比对,利用计算公式可以几秒内演算出来,而数字和字母的组合则需要一两年,加上符号可能需要十几年才能演算出来。此前摇号网站只需要输入一串手机号,防范级别不高,容易被攻破。

  刘兴亮认为,对于摇号网站这种涉及公众身份信息的网站,更应该增加防范级别。因防范不慎被犯罪分子利用,网站的维护者是有责任的。因此,希望掌握隐私信息的网站一定要做好安全防范,增强责任心。

  体验

  网站已升级 需加输证件号

  昨日,记者进入小客车指标调控管理信息系统,点击“找回密码”功能,需要填写“证件号码”、“手机号”、“图片验证码”之后,才能“点击获取短信验证码”。填写完毕,1分钟内,记者输入的手机号便收到“小客车指标办”的6位验证密码。

  据介绍,这是在2012年12月23日,该网站被攻击后,交通委加强了系统安全防护功能。

  记者获悉,摇号网站的短信验证码发送功能需要向中国移动支付每条0.05元的费用,正常每日发送量为4000余条,费用是交通委承担,但此次张利斌的恶意攻击,使向用户发送信息量大量增加,造成不必要损失达4.7万元。

分享

热门关注

英语考研究生考试科目是什么

英语考研科目

跨专业考研专业哪些比较好

跨专业考研哪些专业好

计算机专业考研方向是什么

计算机专业考研方向

环保设备工程专业有哪些考研专业

环保设备工程专业考研专业

环保设备工程考研有哪些专业

环保设备工程考研

自考研究生与在职研究生的区别

研究生

本二可以考研究生吗 考研究生有哪些要求

研究生

在职研究生和全日制研究生的区别有哪些

在职研究生

研究生几年才能毕业

研究生几年

函授研究生怎么考

函授研究生