“看我們是如何黑掉seu-wlan的……”昨天中午，東南大學(xué)九龍湖校區(qū)上演“百團(tuán)大戰(zhàn)”，近130個社團(tuán)招攬新生。走在大學(xué)生活動中心附近，不少同學(xué)用手機(jī)登錄校園無線網(wǎng)后，驚訝發(fā)現(xiàn)收到了一封來自“黑客”的信，他們歡樂留言：“對網(wǎng)絡(luò)安全（你懂的）感興趣的同學(xué)快快聯(lián)系我們吧。”虛驚一場！原來這是東大“網(wǎng)絡(luò)安全聯(lián)盟”在“秀技”招新。

　　用來偽造熱點(diǎn)的電路板。

最牛廣告：黑掉校園無線網(wǎng)“炫技”

　　昨天中午，東大九龍湖校區(qū)2015年“社團(tuán)招新”吸引了大批學(xué)生圍觀。大學(xué)生活動中心廣場上，不少同學(xué)驚訝發(fā)現(xiàn)，手機(jī)連接無線網(wǎng)“seu-wlan”，輸入用戶名和密碼后，跳出一張“奇怪”的頁面，大標(biāo)題是“看我們是如何黑掉seu-wlan的”，相當(dāng)霸氣。文末留言：“如有任何疑問和想法，歡迎來98號位交流，同時想查看源碼的同學(xué)也歡迎來玩。”原來是廣告帖。

　　記者“按圖索驥”找到這家外表頗為低調(diào)的“網(wǎng)絡(luò)安全聯(lián)盟”。聯(lián)盟的會長、東大信息科學(xué)與工程學(xué)院大三劉延棟大方向記者展示“黑”掉校園無線網(wǎng)的裝備：一塊電路板，上面貼了十幾塊芯片，摸上去燙手。“這是我搭建的虛假的seu-wlan無線熱點(diǎn)，短短幾分鐘，就有100多臺移動設(shè)備接入。”在計算機(jī)后臺，清楚記錄著每一名登錄者的幾串代碼，“這些符號暴露了手機(jī)的系統(tǒng)和MAC地址。”

咋實(shí)現(xiàn)的

偽造無線網(wǎng)登錄界面

　　記者隨后嘗試用手機(jī)連接?xùn)|大校園無線網(wǎng)，第一個跳出的熱點(diǎn)是“seu-wlan”，字母及大小寫與東大校園無線網(wǎng)的名稱一模一樣。點(diǎn)擊連接后，手機(jī)頁面跳出了登錄框，需要用戶輸入用戶名和賬號。在劉延棟的“指點(diǎn)”下，記者隨便輸了用戶名密碼，點(diǎn)擊登錄，等待十幾秒，跳出了“黑客”的一封信。

　　“我們使用 raspberry pi 偽造了校園無線網(wǎng)的登錄界面，使其看起來和正常熱點(diǎn)完全一樣。但這是虛擬的釣魚網(wǎng)站，登錄過程中，用戶名和密碼被記錄了下來。”劉延棟告訴記者，制作這樣一套系統(tǒng)前后花了2天課余時間，“從技術(shù)上說非常簡單。”他解釋說，無線設(shè)備會根據(jù)無線SSID選擇環(huán)境中信號強(qiáng)度較好的信號源。“我們偽造了seu-wlan熱點(diǎn)，在很多場合，信號強(qiáng)度都會大于源信號的強(qiáng)度，因此很多設(shè)備會被劫持到我們搭設(shè)的熱點(diǎn)上。”

社團(tuán)揭秘

他們自稱“白帽子黑客”

　　社團(tuán)成員張書睿說，偽造靜態(tài)的登錄頁面是最基本的“黑客技術(shù)”。東大“網(wǎng)絡(luò)安全聯(lián)盟”臥虎藏龍，“黑客”們還有更高端的“招數(shù)”。比如進(jìn)行隱蔽的信息搜集，向有漏洞的移動設(shè)備投送木馬，控制接入的移動設(shè)備，對訪問的流量進(jìn)行劫持，窺探其上網(wǎng)的動作等。“大家因?yàn)閷诳图夹g(shù)感興趣聚在一起，經(jīng)常切磋。”

　　張書睿告訴記者，東大“網(wǎng)絡(luò)安全聯(lián)盟”有幾十名會員，大部分為男生也有女生，成員并非大家印象中的會惡意破壞網(wǎng)絡(luò)、侵入電腦。他們更愿意管自己叫“白帽子黑客”。“和黑客的惡意攻擊不同，‘白帽子’是善意的，發(fā)現(xiàn)漏洞都會及時提交給網(wǎng)站，建議或幫助網(wǎng)站進(jìn)行修補(bǔ)，就像醫(yī)生診斷治療疾病。我們不會做違法的事，這一點(diǎn)很關(guān)鍵。”

　　張書睿透露，東大“網(wǎng)絡(luò)安全聯(lián)盟”有一名已畢業(yè)的老會員，找到某商業(yè)網(wǎng)站的漏洞，對方獎勵了500美元。

特別提醒

別輕易設(shè)置手機(jī) 無線網(wǎng)“自動連接”

　　“設(shè)計這次演練，想提醒大家提高對網(wǎng)絡(luò)安全的重視。” 劉延棟建議說，手機(jī)不要輕易連接陌生的無線網(wǎng)絡(luò)。

　　如果已經(jīng)連上了虛假熱點(diǎn)，是否有辦法識別是真的熱點(diǎn)還是釣魚熱點(diǎn)呢？劉延棟推薦了幾種甄別方案。第一種，隨手輸入用戶名、密碼，看看反應(yīng)如何。如果測試中熱點(diǎn)會跳轉(zhuǎn)到異常頁面，證明此熱點(diǎn)是釣魚熱點(diǎn)。還有種辦法，“https 查看url前的協(xié)議是否為https，https表示為安全的http，在傳輸過程中對http流量進(jìn)行了加密，因此較為安全。但是，如果前期沒有處理好，攻擊者完全可以將流量解密為明文流量，結(jié)論還是有漏洞。”

　　有這樣一句話，互聯(lián)網(wǎng)并不安全，你沒被黑很可能是你還沒有被黑的價值。“在支付等關(guān)鍵操作時盡量不使用公共熱點(diǎn)，同時保持適當(dāng)?shù)木栊?，察覺到異常時及時更換密碼，一般就沒有問題了。”（通訊員唐瑭 揚(yáng)子晚報全媒體記者 蔡蘊(yùn)琦）