黑客软件

定义

黑客软件指供使用者借助网络对他人主机实施攻击、控制或窃取信息的软件，使用者一般在本机运行带有界面的客户端，被控计算机上则运行服务端程序。^[6][2] 反病毒厂商通常以 Hack 作为这类程序的命名前缀，用来同以 Trojan 为前缀的木马病毒相区别：木马病毒负责潜入系统并隐藏，黑客病毒则提供可视界面用于远程操纵用户电脑。^[2]

按照恶意代码的分类方法，木马、蠕虫与感染式病毒都运行在被侵害的主机上，黑客工具却运行在攻击者或其控制的终端上，对自身运行环境并无影响，因而被单独列出。^[3] 木马承担侵入与潜伏，黑客软件承担操控，两者常成对出现，如今界限趋于模糊。^[2]

原理

多数此类工具采用客户端与服务端配合的方式工作：服务端在目标主机上安装并监听网络端口，攻击者用客户端与之连接，连接建立后便可像坐在那台机器前一样操作。^[7][1] 通过这条通道，可以记录键盘输入、查看屏幕内容、上传下载文件，也可启停进程、修改注册表或管理网络连接。^[7]

graph LR

A[攻击者客户端] -->|下发控制指令| B[被控主机上的服务端程序]

B -->|回传数据与执行结果| A

获得执行机会的途径大体有两种：一是利用目标系统或应用本身存在的缺陷，二是诱骗使用者自行安装或运行。前者取决于相关漏洞是否已被修补，后者取决于使用者是否打开可疑附件、下载来源不明的程序。^[8][7]

发展历程

可自我复制的恶意程序在 20 世纪 80 年代已出现于研究环境，1988 年由罗伯特·莫里斯（Robert Morris）释放的互联网蠕虫，是最早受到广泛报道的网络传播事件之一。^[9] 在中国，1994 年 2 月 18 日施行的《中华人民共和国计算机信息系统安全保护条例》把计算机病毒界定为能够自我复制、破坏计算机功能或毁坏数据的指令或程序代码。^[6]

1998 年 7 月 21 日，一个自称死牛教（Cult of the Dead Cow）的团体发布了针对 Windows 95 与 Windows 98 的远程控制程序 Back Orifice，它安装后监听端口并接受外部连接，可记录击键、抓取屏幕和传输文件；微软在同年 8 月 4 日发布安全公告，说明了该程序生效所需的条件。^[7][8] 其作者称它也可作为网络管理工具使用，但安全研究者认为它明显降低了利用既有缺陷的难度。^[10][11]

1999 年，功能相近的远控工具 Sub7 出现，客户端与服务端式的远程控制工具由此成为常见形态。^[12] 2001 年出现的红色警戒把病毒、蠕虫与攻击手段结合在一起，利用服务器漏洞发起阻断式攻击，此后远控类程序与窃密程序逐步整合。^[2] 进入 2020 年代，远程控制木马通过多层载荷打包、借助正常驱动漏洞等方式增强隐蔽性，更新迭代加快。^[13]

应用

在攻击活动中，此类软件被用来未经授权地侵入系统、远程操纵主机、窃取账号与数据，或被用来把大量被控主机组织成僵尸网络，向目标发动拒绝服务攻击、发送垃圾邮件。^[14][1] 被植入服务端的使用者往往对此毫不知情，其设备仍会持续为攻击者提供算力与带宽。^[15]

同类程序也存在正常用途。允许远程控制的软件可用于网络管理与远程技术支持，微软提示市面上已有多个正规厂商提供功能相近的商业产品，只是安装这类程序应当谨慎。^[8][10] 在经授权的安全评估中，测试人员也会模拟攻击者的视角排查系统弱点。^[15]

局限

这类工具并非总能得手。以 Back Orifice 为例，服务端必须先被安装并运行，攻击者还须知道目标的地址并能直接连接其端口，配置正确的防火墙即可挡住连接。^[8][7] 有安全研究者指出，它并未暴露 Windows 的新缺陷，只是让既有漏洞更容易被利用。^[11]

法律上的限制更为直接。《中华人民共和国刑法》第二百八十五条规定，违反国家规定侵入特定领域以外的计算机信息系统并获取其中数据或实施非法控制，情节严重的可处 3 年以下有期徒刑或者拘役，情节特别严重的处 3 年以上 7 年以下有期徒刑。^[5] 该条还规定，提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施此类违法犯罪而为其提供程序、工具，情节严重的依照前述规定处罚。^[5][16]

相关司法解释把具有避开或者突破计算机信息系统安全保护措施、未经授权或超越授权获取数据功能的程序与工具列入上述范围。^[17] 《中华人民共和国网络安全法》第二十七条同样禁止个人和组织提供专门用于侵入网络、干扰网络正常功能及防护措施、窃取网络数据的程序与工具，违反且尚不构成犯罪的，由公安机关没收违法所得，可并处拘留与罚款。^[18]

在司法实践中，随着新型程序逐渐取代传统木马，如何认定「专门用于侵入」成为难点。已有案例认定，能够避开或突破平台安全保护措施、使他人未经授权获取访问受限数据的软件，属于刑法第二百八十五条第三款所指的专门用于侵入计算机信息系统的程序。^[19]

参见

• 恶意软件 —— 黑客软件通常被归入恶意软件的范畴，是其中一个分支。

• 特洛伊木马 —— 与黑客软件常配合使用，负责侵入并在受控主机上潜伏。

• 蠕虫 —— 能自主传播的恶意代码，与黑客工具同属恶意代码的基本类别。

• 僵尸网络 —— 由大量被控主机组成、可发起大规模攻击的平台。

• 中华人民共和国网络安全法 —— 禁止提供专门用于侵入网络、窃取网络数据的程序与工具。