后续 | 为何正义的黑客不能帮你找回被扒的iPhone

自从carry_your 上次技术反制逼小偷还回 iPhone 后，很多和宅客频道的读者反馈，希望有人帮他们拿回被偷的手机。

但是，这件事情很难，为什么难？我们先看一个悲伤的故事。

悲剧！遇上用零日漏洞“钓鱼”的黑客

作为一个优秀的网络安全从业人员，白帽汇的联合创始人邓焕与 carry_your 也曾是同事关系，提到那篇十分火热的报道《黑客讲述 | 我如何逼小偷把iPhone 还回来》， 邓焕脸上写满忧伤——他的女朋友曾经也被扒走了一个 iPhone，然后有人天天发钓鱼短信来骗妹子的苹果 ID 和密码。

由于家庭安全教育做得十分到位，妹子及时通知了邓焕。

邓焕作为一个优秀的安全人员，想到的第一步当然不是乖乖输入 ID 和密码，而是研究这个钓鱼网址。然后，他登录了这个网站，准备攻击一下，发现点什么。

突然，就悲剧了！

妹子的 ID 是用 QQ 邮箱注册的。邓焕痛心疾首地对说：

“唉，我大意了！没想到这个骗子黑客愿意花这么大力气来夺取一个 iPhone 手机！”

原来，这位钓鱼的黑客花费很多精力挖掘了 QQ 某官网的一个 XSS 零日漏洞，只要受害者 ID 是由 QQ邮箱注册，那么只要受害者打开这个网站，黑客就能利用这个漏洞，无需受害者填入苹果ID和密码，就可以劫持受害者的qq域名下的 cookie 信息，从而夺取受害者QQ 邮箱的控制权。换句话说，他成了这个 QQ 邮箱的主人，可以随意获取邮箱的信息，如发到qq邮箱里的icloud重置密码邮件。

等等，零日漏洞是什么？为什么说这个黑客花了大力气？

科普一下。

“零日漏洞”( zero-day)又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞。通俗地说，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性。

一般而言，QQ官网的零日漏洞一旦被腾讯发现或被报告给腾讯，会迅速得到补救（此处应给广告费），而零日漏洞也不是那么好找，也就是说，黑客费心费力研究的零日漏洞用在“钓鱼”一部手机上，消耗的成本太高。

邓焕为什么不像 carry_your 一样攻击钓鱼网站，然后联络小偷，逼他们把手机还回来？

呵呵，问这句话的少年，你还是太年轻。

邓焕说：

“其实，在某宝上，就有专门的‘钓鱼’服务，这意味着，小偷和钓鱼网站极有可能不是一伙人，你攻击了钓鱼网站，威胁钓鱼的黑客，根本不管用。”

所以，carry_your 技术反制找回手机的案例还是“天时地利人和”，不能大规模复制。何况，对方可能是一个愿意消耗零日漏洞来“钓鱼”的黑客。

卧底黑产群

虽然这件事情已经过去很久，但邓焕还是记忆深刻，因为在后来的一系列的网络安全事件中，邓焕发现，QQ 邮箱经常中招。

最近，通过 QQ 相册盗取 QQ 邮箱和密码，从而对使用 QQ 邮箱作为苹果 ID 的用户进行远程锁机敲诈的新型手法浮出水面，对此也有报道。详情请见：你的Apple ID 是 QQ 邮箱吗？有人专门锁机勒索！

当然，除了锁机敲诈，坏人有利用其干更多坏事的途径。

抱着研究的目的，白帽汇安全团队曾潜入黑产贩卖 QQ 群，卧底观察包括 QQ 邮箱信息在内的数据贩卖生意。

上图瞻仰下安全人员卧底的成果之一：

据介绍，整个黑产链条大致有三类角色：出料人、收料人、买家。出料人是贩卖一手原始数据的人，这些原始数据有两类主要途径获取：第一，黑客入侵，拖库；第二，内鬼泄露。收料人负责对数据进行筛选、分类和测试，也可称之为洗料人，收料人可能自己也是最终买家，也可能将数据一层一层卖给买家。因此，中间可能还有数据倒卖商出现。这个产业中还有一个角色十分特殊——专门卖技术的人，即提供或制作技术工具。

这些安全人员曾用 QQ 小号潜伏在这类 QQ 群里，发现了许多重要安全威胁线索。 比如，今年4~5月，一个某著名国产手机品牌的用户详细物流信息曾在该类QQ 群里被叫卖，白帽汇获取了部分样本信息后提交给了该合作厂商进行分析，后来发现是由他们在武汉的一家物流承运商所泄露，于是采取了相应措施。

黑客身份可能会曝光

此后，由于要监控的安全威胁信息太多，白帽汇采用了监控软件。至于这个软件长啥样，很抱歉，编辑死磕了很久，白帽汇的童鞋也不肯把截图放出来。

但是，经过长期监测，白帽汇发现，其实倒卖这些黑产的人，尤其是涉及其中的黑客，基本上是固定的圈子。

于是，白帽汇目前正在和上级监管部门合作，准备开展一个酷炫屌炸天的项目——黑客人员数据库。

这个黑客人员数据库囊括的是参与黑产的黑客，并不包括白帽子。

不过，由于涉及到保密信息，不宜向公众公开，只能文字描述下概况。

这是一个目前覆盖了约3万名黑产相关人员详细资料的可视化平台。有多么详细？通过大数据挖掘与实时监控，平台挖掘出了黑客的私人 QQ号、邮箱、地区、每次贩卖资料的记录……

哦，对了，真的不是地域歧视，这些黑产从业人员的从业省份也很集中……

由于黑产中很少有单独作案人员，邓焕告诉，后续他们将展开研究，将不同黑客之间的联系找出来。

但是，这个项目还要克服很多困难，比如，这个平台搜集的许多电子证据能否作为合法证据还需要有关部门进行认定。