虚拟空间里的“指纹采集”揭秘追踪技术

技术宅

IT界的黑客与反黑客战争一直都在持续，一方面是技术高超的黑客利用木马、病毒、系统漏洞等频繁对个人和公司电脑进行攻击，另一方面，隐藏在电脑屏幕后面的反黑客斗士则通过各种技术手段追踪黑客踪迹，并试图为黑客进行“虚拟指纹采集”，从而让黑客无从遁身。那么什么是“虚拟指纹”？安全专家们又是怎么样对黑客进行“指纹采集”的？

虚拟空间的踪迹——认识虚拟指纹

现实生活中，不法分子在作案现场大多会留下他们的指纹信息，公安人员通过采集犯罪嫌疑人的指纹，然后再和指纹库中的数据比对从而确定犯罪分子的身份，这已经是很常见的场景了。

其实在虚拟世界里，当我们（自然包括各类黑客）在互联网中里进行各种网络活动的时候，比如浏览网页、接收邮件或者攻击对方电脑等，在这个“虚拟现场”里也不可避免地会留下各种信息，像使用搜索引擎的搜索记录、启动软件的操作记录、使用的操作系统版本等这些信息。这些网络活动遗留的信息被称之为“虚拟指纹”信息，它就像是生活中的不法分子在作案现场遗留作案信息一样，而经验丰富的安全专家则可以根据这些信息找到黑客，并将其绳之以法（图1）。

采集虚拟指纹——追踪黑客蛛丝马迹

只要我们在网络上活动就不可避免会留下各种虚拟指纹信息数据。不过，防黑安全专家是怎么采集到这些数据的呢？又是通过什么方法分析这些数据并追踪到具体黑客的？

我们知道公安部门的指纹库是通过各级公安机关对全国各地的犯罪嫌疑人进行采集，然后与在后续出现的案发现场提取的指纹进行比对，从而找出特定的嫌疑人。同样的，安防专家为了能够在一些恶意侵入和攻击当中找到特定的黑客，他们也会建立相应的虚拟指纹数据库，从而在发生黑客攻击事件时进行比对以快速找出这些不法之徒。

比如，某安全公司的黑客指纹数据库就包含多达数千万个恶意IP，而这些IP背后就是一个个现实生活中的黑客，无论黑客攻击是使用真实IP还是VPN代理IP，都会进入指纹数据库。同时这些黑客的攻击行为、攻击路线、攻击习惯等也都会被同时记录在数据库中（图2）。

在这些指纹库里，每一个IP都会关联它的历次攻击行为，并且根据黑客利用漏洞的能力和攻击威胁、频率等参数对其进行综合评级。比如某位黑客成功利用了一个0Day漏洞进行入侵，那么他就有可能被标为最高等级（意味着这种黑客的攻击性很强、安全威胁也非常大），同时还将黑客的搜索记录、职业习惯等其他行为进行综合记录，确保可以比较完整地勾勒出黑客的实际面貌（图3）。

黑客们的这些综合信息是怎么获取的？安防专家可以通过域名、网页监控、邮件监控等手段获取。比如一个黑客通过搜索引擎访问一个被监控的网站，那么安防专家就可以通过监控记录进行溯源，找出黑客的搜索记录和IP地址，从而知道黑客的实际位置和搜索喜好。像上图的指纹数据，专家们通过溯源，知道这位黑客经常登录交友论坛，并且经常搜索各类专业的编程代码，通过IP地址查询可以知道黑客的实际位置（假设为上海），喜好是交友，职业应该是一位程序员。这样一个上海程序员的黑客就跃然纸上了（图4，此处纯为示例假设）。

因为每个人上网都有一个对应的IP地址，通过一些专业工具可以轻易查询到实际地址。当然黑客在做坏事的时候一般使用代理软件，但是黑客不可能浏览一切网页都挂代理，比如他在访问一些本地论坛或者挂QQ、微信的时候基本上会用自己的真实IP，所以理论上只要关注黑客时间够长，搜寻到的黑客使用的网络工具足够多，那么黑客的真实身份（IP）就一定会暴露（图5）。

当然在实际的跟踪中，还有许多手段获取黑客的其他真实信息，比如可以通过黑客手机上的定位软件，结合百度地图、谷歌地图等获取其实际行踪信息（图6）。

如果要抓到现实生活中真正的黑客，公安部门还会联合相关部门，如通过通讯公司查询该人的通讯记录，通过查阅社交网站服务器的后台数据找到黑客的聊天记录等等手段将其一举捉获。因此对于那些想在网上炫耀自己实力、随意入侵他人电脑的黑客们，其实在虚拟的网络中依然是法网恢恢、疏而不漏。

安全防范 要养成良好的上网习惯

通过上面的描述，我们知道在使用各种网络工具时都会留下各种痕迹，而通过网络监控追寻到现实生活中的每一个人也不是什么新闻，前段时间闹得沸沸扬扬的棱镜风波正是这种监控工具活生生的应用实例。

当然网友们并不是为非作歹的黑客，但是大家知道安防专家可以通过网络信息追查到实际的黑客，同样的黑客们也会通过这些信息追寻到每一个人。因此要安全上网不泄露自己的隐私信息，我们平时就要养成一些良好的上网习惯，比如不要轻易在微博、微信上泄露自己的实际信息（如居住地址、孩子学校信息等），对自己的上网记录要及时清除等。总之为了更好地保护自己，我们尽量在网络上留下更少的信息，以防止黑客们通过这些信息窃取我们的隐私，带来不必要的损失。