昨晚刺的“道哥黑板报”发出了《中国黑客传说:游走在黑暗中的精灵》，非常精彩，如果里面人物感情再细腻些可以拍电影了，哈哈。今天各种讨论、猜测、抨击都来了，这个在很多人的预料之内，不过那种一上来就爆粗口的实在不敢恭维，列入黑名单。

还有人说这样的大数据黑客，大数据攻击早N年都在使用了，其实我是相信的，我们所知的“黑产”或“灰产”很多攻击模式都是这样，举几个例子：

曾经疯狂的网马产业链

知道创宇07年底就开始推出的全国第一个最全面的全国网马监控系统（蜜罐里是HOOK IE很多系统APIs的沙盒系统），08年是这个系统的成熟期，也是网马产业链持续高潮的时期，那时针对黑客攻击的刑法修正案（七）还没颁布，我们捕获了数万各种变形的网马源头以及大量的木马病毒样本，根据这些网马的特征，我们发现几个地下产业的团队活动，当时我们就被这些团队的行为折服与震撼。

这种折服与震撼放到之后的科普文章里写吧，因为本次的主题是“工具党”。

我们发现数万网站一次性被黑，然后植入网马（挂马），就是通过工具批量进行，比如当时类似挖掘鸡这样的傻瓜工具，基本就是挂机扫描网站主机的常见服务端口的弱口令、Google Hack常见漏洞、后台地址+暴力口令、SQL注入（尤其是SQL Server的）、IIS缺陷等，别小瞧，大规模模式下的攻击，往往会有惊喜（因为这时需要用统计学规律来解释，你知道吗？），尤其是针对一个0day（未修补的漏洞）。

挖掘鸡太挫了？当然，编写一个在Linux下高效工作，甚至集群工作的扫描器也很简单，对于有经验的黑客来说，就是几小时的事:)

为了看AV

大家记住一点：一旦一个东东上升到了统计学层面，就得担心了，举个真实例子，我们团队有个神一般的黑客人物，曾经（年轻人嘛），想得到某AV论坛的一些种子，要邀请码才能注册，手头一时没这个论坛应用的0day，怎么办？他灵机一动，想出了个令我佩服得要死的高招……

这个论坛有个功能是可以列出所有在线用户的（这个数量很可观），在Linux下，他把这些用户账号全部采集到，然后结合弱口令123456去批量登录（当时没验证码），登录失败的状态特征我们是知道的，一旦发现不是这个状态特征，那就是成功了。通过这个方式，搞下数十个账号，而且还有VIP的……

恩，他此时就是一个工具党。

俄罗斯黑客

我们最近又发现一起和这个国家的黑客团队有关的一起攻击案例（黑产），这起案例放在下次科普介绍，这次回顾下2012/3/20我们发布的一篇文章《Web应用漏洞的大规模攻击案例分析》，由我们安全研究员小G撰写，语言生动诙谐、精彩之极！忍不住要看等看完本文再点击这：

http://blog.knownsec.com/2012/03/web%E5%BA%94%E7%94%A8%E6%BC%8F%E6%B4%9E%E7%9A%84%E5%A4%A7%E8%A7%84%E6%A8%A1%E6%94%BB%E5%87%BB%E6%A1%88%E4%BE%8B%E5%88%86%E6%9E%90/

这篇文章当时就跟踪出了背后的主谋：俄罗斯黑客。他们利用WordPress插件TimThumb的漏洞批量拿到目标网站的后门权限（Webshell），3500站点，批量挂了网马，感染了全球150000用户。手段之阴险毒辣，行为之狡诈令我们团队咬牙。

要快速利用曝光了的0day（我们称之nday）进行大规模攻击，就必须成为工具党，大规模、挂马、数据采集、数据分析、精准投放……我们可以肯定，很多很多安全公司的团队和他们比起来简直弱爆了！

全球弱口令设备

膜拜一下，虽然我们团队也做了些尝试，可惜仅仅搞了几个国家的，这样全球的，而且还开放出来，包括paper、库、统计，出自一人之手，这才是真的黑客。

恩，他也是工具党。自己膜拜去吧，地址：

http://internetcensus2012.bitbucket.org/paper.html

看完如上几个案例后，我所说的工具党是褒义词，很多人鄙视用工具的，经常说：“啥技术含量都没，负分，滚粗！”告诉你吧，一旦一个玩意上升到统计学层面（或者说大数据层面），这个威力就不小了，能玩好统计学，能玩好群体，是一种巨大的本领，别整天意淫自己，这个圈子背后有一批真正的牛人，如幽灵般地行走。

你相信我说的吗？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课