近日，一部名為《孤注一擲》的犯罪影片正在大銀幕上熱映，這部影片以揭秘網(wǎng)絡(luò)詐騙全產(chǎn)業(yè)鏈內(nèi)幕為主題，全方位拆解了電信詐騙套路。由于有包括俞華辰等安全專家的參與，其中也不乏專業(yè)的技術(shù)場景。

本文將按照電影情節(jié)先后，介紹和分析電影場景中的技術(shù)手段及原理，看哪些是真實(shí)存在的技術(shù)，哪些又是藝術(shù)加工的結(jié)果。

酒店會(huì)場里的惡作劇

影片開始，潘生在離開會(huì)場之后使用SQLMap工具利用SQL注入漏洞進(jìn)入到了酒店管理系統(tǒng)，最后“篡改”了正在演講的屏幕。

電影中使用的完整的命令是：

• 
  

python sqlmap.py -u "https://pms.arey-hilmon.com/orders/detail?id=13260994" --random-agent --batch -D pms_arey-hilman_com -T users -C "username,password" –drop

即利用https://pms.arey-hilmon.com/orders/detail?id=13260994中的SQL注入漏洞，導(dǎo)出了數(shù)據(jù)庫pms_arey-hilman_com下的users表中的用戶名和口令字段，繼而獲取了系統(tǒng)管理員賬戶口令，未授權(quán)訪問到酒店系統(tǒng)。

上述的域名并未被注冊(cè)，是電影拍攝需要模擬構(gòu)建的本地系統(tǒng)，同時(shí)為了方便觀眾理解，導(dǎo)出的用戶口令也未做哈希處理或加密處理（現(xiàn)實(shí)中通常都會(huì)對(duì)用戶口令做加密存儲(chǔ)，避免數(shù)據(jù)庫泄露后的用戶口令泄露），這樣一眼可以看出主角獲得了系統(tǒng)賬戶權(quán)限。

通常酒店會(huì)場演示的屏幕是通過獨(dú)立的投影系統(tǒng)實(shí)現(xiàn)，比如有專用電腦連接投影儀投屏。因此，電影中配有聲效的emoji表情的快速出現(xiàn)在屏幕中是電影的藝術(shù)處理，現(xiàn)實(shí)中要對(duì)已操控電腦實(shí)現(xiàn)相同效果，最好的辦法是是播放惡搞視頻。

會(huì)“算卦”的新員工

影片中，潘生在新員工們前往新公司的航班上透露了每個(gè)人的姓名，有人以為他會(huì)算卦，而他自稱是黑掉了“才哥”的手機(jī)。

按照潘生的說法，大概的攻擊方式是：

首先

通過OSINT（開源情報(bào)搜集）獲得才哥的個(gè)人信息

然后

通過社會(huì)工程學(xué)的方式“誘導(dǎo)”或“引誘”才哥下載安裝了App（影片才哥使用的是Android手機(jī)）

最后

利用帶有木馬程序的App獲得手機(jī)上的其他信息，比如才哥下載在手機(jī)本地的新員工名錄或清單。

潘生沒有通過才哥手機(jī)得知才哥真實(shí)身份及詐騙集團(tuán)相關(guān)信息，說明才哥在手機(jī)訊息管理上非常嚴(yán)謹(jǐn)，又或者才哥有多部手機(jī)（至少一部用來“招聘”，一部用于“工作”），電影末尾得知才哥確實(shí)是持有兩部手機(jī)，潘生黑掉的只是沒有問題的那部。

被逼寫爬蟲的潘生

在后面的情節(jié)中，潘生被騙到詐騙園區(qū)，被陸經(jīng)理和才哥軟硬兼施要他寫個(gè)爬蟲，收集字幕組資料。

爬蟲程序是通過自動(dòng)解析目標(biāo)網(wǎng)站的結(jié)構(gòu)和頁面，將使用者需要的信息或特定的信息自動(dòng)爬取下來的程序，常常用于批量獲取網(wǎng)站特定信息，比如搜索引擎抓取網(wǎng)站信息和頁面用的也是爬蟲。Python中常見的爬蟲框架有Scrapy等，影片中的X-Pider應(yīng)該是拍攝需要自行開發(fā)或展示的程序（電影要兼顧真實(shí)和藝術(shù)，既要貼近現(xiàn)實(shí)，也需要讓觀眾能看懂）。

字幕組收到的新郵件

影片中，潘生爬取的字幕組資料，之后被用于發(fā)送廣告郵件，稱只要字幕組將網(wǎng)址和信息嵌入字幕之中，便可獲得3000元酬勞。

字幕組在詐騙鏈條中起到了推廣營銷的作用，只不過營銷內(nèi)容是詐騙信息，所以對(duì)于字幕組而言這封新郵件更像是廣告郵件。

現(xiàn)實(shí)生活中，大多數(shù)的郵件服務(wù)商對(duì)于帶有圖片等媒體格式的內(nèi)容都默認(rèn)不顯示或不展示，用戶看到的圖片往往是打叉的內(nèi)容，除非主動(dòng)點(diǎn)擊郵件中加載圖片的按鈕或鏈接，這種設(shè)置可以大大降低廣告郵件（垃圾郵件）或釣魚郵件成功的概率。

掃街的偽基站

影片中，除了字幕組推廣鏈接和網(wǎng)址之外，另外一種辦法是使用偽基站。

偽基站指的是未經(jīng)過通信運(yùn)營商授權(quán)和管理的基站，并偽裝成運(yùn)營商合法基站的非法通信設(shè)備，所有靠近它的手機(jī)，信號(hào)強(qiáng)度上偽基站更強(qiáng)，因此手機(jī)會(huì)自動(dòng)連接偽基站，偽基站因而可以獲取手機(jī)用戶的移動(dòng)用戶識(shí)別碼（IMSI），給連接到的手機(jī)群發(fā)廣告短信或詐騙短信。

由于偽基站設(shè)備不大，故不法分子會(huì)將偽基站放置在汽車后備箱、摩托車后備箱等運(yùn)輸工具上，通過四處移動(dòng)的方式，在旅店、商業(yè)街等人員流動(dòng)較多的場所，實(shí)施詐騙短信推廣。

另外，影片中似乎還出現(xiàn)了貓池，這是一種可以提供多組模擬電話號(hào)碼的設(shè)備，在貓池設(shè)備上可以同時(shí)管理大規(guī)模的電話手機(jī)卡（也就是詐騙集團(tuán)本身擁有大量用于詐騙的手機(jī)號(hào)碼，或稱黑卡），通過配套的軟件可以實(shí)現(xiàn)同時(shí)接收、發(fā)送短信，撥打電話的功能。詐騙集團(tuán)通過這種方式與受害者聯(lián)系進(jìn)行電話詐騙，因?yàn)殡娫捥?hào)碼可以自動(dòng)切換的，所以追蹤難度非常大。

用于詐騙的群聊機(jī)器人

影片后半段，潘生向陸經(jīng)理提出做一個(gè)自動(dòng)化程序，把人工客服的功能放到軟件里，受害人掃碼后直接跳轉(zhuǎn)到群里，通過機(jī)器人群聊的方式對(duì)受害人實(shí)施統(tǒng)一話術(shù)和自動(dòng)回復(fù)。

影片中的設(shè)想邏輯上是沒問題的，但在現(xiàn)實(shí)生活中，微信自動(dòng)群聊機(jī)器人和涉嫌欺詐的微信群一直是微信官方和警方聯(lián)合打擊的對(duì)象，為的就是避免諸如惡意營銷和詐騙事件的發(fā)生，甚至為了逃避官方的封禁和打擊，有黑產(chǎn)或灰產(chǎn)人員會(huì)向普通人收購建立時(shí)間較長（超過1年以上）的微信群從事非法活動(dòng)。

陸經(jīng)理的唯一終端

影片結(jié)尾，陸經(jīng)理的手機(jī)成為了訪問詐騙集團(tuán)服務(wù)器唯一的終端，從情節(jié)介紹很容易理解，甚至片中還有一幕使用到了iptables設(shè)置訪問來源IP。

現(xiàn)實(shí)生活中，設(shè)置特定的訪問來源或終端有很多種辦法，iptables是Linux系統(tǒng)中用于配置防火墻訪問規(guī)則的命令，影片中設(shè)置的唯一訪問來源IP是192.168.2.5，而配置該命令的服務(wù)器IP是172.16.3.141，同樣是內(nèi)網(wǎng)網(wǎng)段IP地址。

可能的技術(shù)方案是通過陸經(jīng)理手機(jī)配置VPN（密鑰驗(yàn)證）連接動(dòng)態(tài)IP綁定的192.168.2.5（這也是必須拿到陸經(jīng)理手機(jī)的原因），潘生設(shè)計(jì)和編寫的程序在該服務(wù)器上運(yùn)營和管理172.16.3.141的服務(wù)器數(shù)據(jù)，故陸經(jīng)理連接服務(wù)器之后還需要輸入賬戶名和口令才能進(jìn)行管理，一旦輸入次數(shù)超過3次，則執(zhí)行系統(tǒng)層面的格式化命令，將172.16.3.141中的數(shù)據(jù)格式化。而潘生留下所謂的后門，大概率是應(yīng)用中硬編碼的賬戶口令，或者萬能賬戶，只有他本人知道。

孤注一擲

除了上述的技術(shù)場景之外，影片中還有為了繞過社交軟件內(nèi)容安全審查采用截圖方式傳遞自己被綁架的消息，利用NFC（近場通訊）復(fù)制才哥門禁卡的場景，以及利用梁安娜指紋進(jìn)入新的詐騙場所（另一種辦法是通過提取犯罪嫌疑人指紋信息并偽造指紋進(jìn)入），這些也都涉及到信息安全技術(shù)和管理。

電影是藝術(shù)創(chuàng)作，避免不了藝術(shù)的加工和技術(shù)的妥協(xié)，但《孤注一擲》中的技術(shù)場景表現(xiàn)已然是非常專業(yè)。另外，潘生在影片中的攻擊行為已然違反了《刑法》第285、286條，現(xiàn)實(shí)生活中也切不可模仿。