從技術(shù)角度看《孤注一擲》
近日，一部名為《孤注一擲》的犯罪影片正在大銀幕上熱映，這部影片以揭秘網(wǎng)絡(luò)詐騙全產(chǎn)業(yè)鏈內(nèi)幕為主題，全方位拆解了電信詐騙套路。由于有包括俞華辰等安全專家的參與，其中也不乏專業(yè)的技術(shù)場(chǎng)景。
本文將按照電影情節(jié)先后，介紹和分析電影場(chǎng)景中的技術(shù)手段及原理，看哪些是真實(shí)存在的技術(shù)，哪些又是藝術(shù)加工的結(jié)果。
酒店會(huì)場(chǎng)里的惡作劇
影片開(kāi)始，潘生在離開(kāi)會(huì)場(chǎng)之后使用SQLMap工具利用SQL注入漏洞進(jìn)入到了酒店管理系統(tǒng)，最后“篡改”了正在演講的屏幕。
電影中使用的完整的命令是：
python?sqlmap.py -u?"https://pms.arey-hilmon.com/orders/detail?id=13260994"?--random-agent --batch -D pms_arey-hilman_com -T users -C?"username,password"?–drop
即利用https://pms.arey-hilmon.com/orders/detail?id=13260994中的SQL注入漏洞，導(dǎo)出了數(shù)據(jù)庫(kù)pms_arey-hilman_com下的users表中的用戶名和口令字段，繼而獲取了系統(tǒng)管理員賬戶口令，未授權(quán)訪問(wèn)到酒店系統(tǒng)。
上述的域名并未被注冊(cè)，是電影拍攝需要模擬構(gòu)建的本地系統(tǒng)，同時(shí)為了方便觀眾理解，導(dǎo)出的用戶口令也未做哈希處理或加密處理（現(xiàn)實(shí)中通常都會(huì)對(duì)用戶口令做加密存儲(chǔ)，避免數(shù)據(jù)庫(kù)泄露后的用戶口令泄露），這樣一眼可以看出主角獲得了系統(tǒng)賬戶權(quán)限。
通常酒店會(huì)場(chǎng)演示的屏幕是通過(guò)獨(dú)立的投影系統(tǒng)實(shí)現(xiàn)，比如有專用電腦連接投影儀投屏。因此，電影中配有聲效的emoji表情的快速出現(xiàn)在屏幕中是電影的藝術(shù)處理，現(xiàn)實(shí)中要對(duì)已操控電腦實(shí)現(xiàn)相同效果，最好的辦法是是播放惡搞視頻。
會(huì)“算卦”的新員工
影片中，潘生在新員工們前往新公司的航班上透露了每個(gè)人的姓名，有人以為他會(huì)算卦，而他自稱是黑掉了“才哥”的手機(jī)。
按照潘生的說(shuō)法，大概的攻擊方式是：
首先
通過(guò)OSINT（開(kāi)源情報(bào)搜集）獲得才哥的個(gè)人信息
然后
通過(guò)社會(huì)工程學(xué)的方式“誘導(dǎo)”或“引誘”才哥下載安裝了App（影片才哥使用的是Android手機(jī)）
最后
利用帶有木馬程序的App獲得手機(jī)上的其他信息，比如才哥下載在手機(jī)本地的新員工名錄或清單。
潘生沒(méi)有通過(guò)才哥手機(jī)得知才哥真實(shí)身份及詐騙集團(tuán)相關(guān)信息，說(shuō)明才哥在手機(jī)訊息管理上非常嚴(yán)謹(jǐn)，又或者才哥有多部手機(jī)（至少一部用來(lái)“招聘”，一部用于“工作”），電影末尾得知才哥確實(shí)是持有兩部手機(jī)，潘生黑掉的只是沒(méi)有問(wèn)題的那部。
被逼寫(xiě)爬蟲(chóng)的潘生
在后面的情節(jié)中，潘生被騙到詐騙園區(qū)，被陸經(jīng)理和才哥軟硬兼施要他寫(xiě)個(gè)爬蟲(chóng)，收集字幕組資料。
爬蟲(chóng)程序是通過(guò)自動(dòng)解析目標(biāo)網(wǎng)站的結(jié)構(gòu)和頁(yè)面，將使用者需要的信息或特定的信息自動(dòng)爬取下來(lái)的程序，常常用于批量獲取網(wǎng)站特定信息，比如搜索引擎抓取網(wǎng)站信息和頁(yè)面用的也是爬蟲(chóng)。Python中常見(jiàn)的爬蟲(chóng)框架有Scrapy等，影片中的X-Pider應(yīng)該是拍攝需要自行開(kāi)發(fā)或展示的程序（電影要兼顧真實(shí)和藝術(shù)，既要貼近現(xiàn)實(shí)，也需要讓觀眾能看懂）。
字幕組收到的新郵件
影片中，潘生爬取的字幕組資料，之后被用于發(fā)送廣告郵件，稱只要字幕組將網(wǎng)址和信息嵌入字幕之中，便可獲得3000元酬勞。
字幕組在詐騙鏈條中起到了推廣營(yíng)銷的作用，只不過(guò)營(yíng)銷內(nèi)容是詐騙信息，所以對(duì)于字幕組而言這封新郵件更像是廣告郵件。
現(xiàn)實(shí)生活中，大多數(shù)的郵件服務(wù)商對(duì)于帶有圖片等媒體格式的內(nèi)容都默認(rèn)不顯示或不展示，用戶看到的圖片往往是打叉的內(nèi)容，除非主動(dòng)點(diǎn)擊郵件中加載圖片的按鈕或鏈接，這種設(shè)置可以大大降低廣告郵件（垃圾郵件）或釣魚(yú)郵件成功的概率。
掃街的偽基站
影片中，除了字幕組推廣鏈接和網(wǎng)址之外，另外一種辦法是使用偽基站。
偽基站指的是未經(jīng)過(guò)通信運(yùn)營(yíng)商授權(quán)和管理的基站，并偽裝成運(yùn)營(yíng)商合法基站的非法通信設(shè)備，所有靠近它的手機(jī)，信號(hào)強(qiáng)度上偽基站更強(qiáng)，因此手機(jī)會(huì)自動(dòng)連接偽基站，偽基站因而可以獲取手機(jī)用戶的移動(dòng)用戶識(shí)別碼（IMSI），給連接到的手機(jī)群發(fā)廣告短信或詐騙短信。
由于偽基站設(shè)備不大，故不法分子會(huì)將偽基站放置在汽車(chē)后備箱、摩托車(chē)后備箱等運(yùn)輸工具上，通過(guò)四處移動(dòng)的方式，在旅店、商業(yè)街等人員流動(dòng)較多的場(chǎng)所，實(shí)施詐騙短信推廣。
另外，影片中似乎還出現(xiàn)了貓池，這是一種可以提供多組模擬電話號(hào)碼的設(shè)備，在貓池設(shè)備上可以同時(shí)管理大規(guī)模的電話手機(jī)卡（也就是詐騙集團(tuán)本身?yè)碛写罅坑糜谠p騙的手機(jī)號(hào)碼，或稱黑卡），通過(guò)配套的軟件可以實(shí)現(xiàn)同時(shí)接收、發(fā)送短信，撥打電話的功能。詐騙集團(tuán)通過(guò)這種方式與受害者聯(lián)系進(jìn)行電話詐騙，因?yàn)殡娫捥?hào)碼可以自動(dòng)切換的，所以追蹤難度非常大。
用于詐騙的群聊機(jī)器人
影片后半段，潘生向陸經(jīng)理提出做一個(gè)自動(dòng)化程序，把人工客服的功能放到軟件里，受害人掃碼后直接跳轉(zhuǎn)到群里，通過(guò)機(jī)器人群聊的方式對(duì)受害人實(shí)施統(tǒng)一話術(shù)和自動(dòng)回復(fù)。
影片中的設(shè)想邏輯上是沒(méi)問(wèn)題的，但在現(xiàn)實(shí)生活中，微信自動(dòng)群聊機(jī)器人和涉嫌欺詐的微信群一直是微信官方和警方聯(lián)合打擊的對(duì)象，為的就是避免諸如惡意營(yíng)銷和詐騙事件的發(fā)生，甚至為了逃避官方的封禁和打擊，有黑產(chǎn)或灰產(chǎn)人員會(huì)向普通人收購(gòu)建立時(shí)間較長(zhǎng)（超過(guò)1年以上）的微信群從事非法活動(dòng)。
陸經(jīng)理的唯一終端
影片結(jié)尾，陸經(jīng)理的手機(jī)成為了訪問(wèn)詐騙集團(tuán)服務(wù)器唯一的終端，從情節(jié)介紹很容易理解，甚至片中還有一幕使用到了iptables設(shè)置訪問(wèn)來(lái)源IP。
現(xiàn)實(shí)生活中，設(shè)置特定的訪問(wèn)來(lái)源或終端有很多種辦法，iptables是Linux系統(tǒng)中用于配置防火墻訪問(wèn)規(guī)則的命令，影片中設(shè)置的唯一訪問(wèn)來(lái)源IP是192.168.2.5，而配置該命令的服務(wù)器IP是172.16.3.141，同樣是內(nèi)網(wǎng)網(wǎng)段IP地址。
可能的技術(shù)方案是通過(guò)陸經(jīng)理手機(jī)配置VPN（密鑰驗(yàn)證）連接動(dòng)態(tài)IP綁定的192.168.2.5（這也是必須拿到陸經(jīng)理手機(jī)的原因），潘生設(shè)計(jì)和編寫(xiě)的程序在該服務(wù)器上運(yùn)營(yíng)和管理172.16.3.141的服務(wù)器數(shù)據(jù)，故陸經(jīng)理連接服務(wù)器之后還需要輸入賬戶名和口令才能進(jìn)行管理，一旦輸入次數(shù)超過(guò)3次，則執(zhí)行系統(tǒng)層面的格式化命令，將172.16.3.141中的數(shù)據(jù)格式化。而潘生留下所謂的后門(mén)，大概率是應(yīng)用中硬編碼的賬戶口令，或者萬(wàn)能賬戶，只有他本人知道。
孤注一擲
除了上述的技術(shù)場(chǎng)景之外，影片中還有為了繞過(guò)社交軟件內(nèi)容安全審查采用截圖方式傳遞自己被綁架的消息，利用NFC（近場(chǎng)通訊）復(fù)制才哥門(mén)禁卡的場(chǎng)景，以及利用梁安娜指紋進(jìn)入新的詐騙場(chǎng)所（另一種辦法是通過(guò)提取犯罪嫌疑人指紋信息并偽造指紋進(jìn)入），這些也都涉及到信息安全技術(shù)和管理。
電影是藝術(shù)創(chuàng)作，避免不了藝術(shù)的加工和技術(shù)的妥協(xié)，但《孤注一擲》中的技術(shù)場(chǎng)景表現(xiàn)已然是非常專業(yè)。另外，潘生在影片中的攻擊行為已然違反了《刑法》第285、286條，現(xiàn)實(shí)生活中也切不可模仿。
