高校社团为招新"黑"掉校园无线网

admin

    “看我们是如何黑掉seu-wlan的……”昨天中午，东南大学九龙湖校区上演“百团大战”，近130个社团招揽新生。走在大学生活动中心附近，不少同学用手机登录校园无线网后，惊讶发现收到了一封来自“黑客”的信，他们欢乐留言：“对网络安全（你懂的）感兴趣的同学快快联系我们吧。”虚惊一场！原来这是东大“网络安全联盟”在“秀技”招新。

    最牛广告：黑掉校园无线网“炫技”

    昨天中午，东大九龙湖校区2015年“社团招新”吸引了大批学生围观。大学生活动中心广场上，不少同学惊讶发现，手机连接无线网“seu-wlan”，输入用户名和密码后，跳出一张“奇怪”的页面，大标题是“看我们是如何黑掉seu-wlan的”，相当霸气。文末留言：“如有任何疑问和想法，欢迎来98号位交流，同时想查看源码的同学也欢迎来玩。”原来是广告帖。

    记者“按图索骥”找到这家外表颇为低调的“网络安全联盟”。联盟的会长、东大信息科学与工程学院大三刘延栋大方向记者展示“黑”掉校园无线网的装备：一块电路板，上面贴了十几块芯片，摸上去烫手。“这是我搭建的虚假的seu-wlan无线热点，短短几分钟，就有100多台移动设备接入。”在计算机后台，清楚记录着每一名登录者的几串代码，“这些符号暴露了手机的系统和MAC地址。”

    咋实现的

    伪造无线网登录界面

    记者随后尝试用手机连接东大校园无线网，第一个跳出的热点是“seu-wlan”，字母及大小写与东大校园无线网的名称一模一样。点击连接后，手机页面跳出了登录框，需要用户输入用户名和账号。在刘延栋的“指点”下，记者随便输了用户名密码，点击登录，等待十几秒，跳出了“黑客”的一封信。

    “我们使用 raspberry pi 伪造了校园无线网的登录界面，使其看起来和正常热点完全一样。但这是虚拟的钓鱼网站，登录过程中，用户名和密码被记录了下来。”刘延栋告诉记者，制作这样一套系统前后花了2天课余时间，“从技术上说非常简单。”他解释说，无线设备会根据无线SSID选择环境中信号强度较好的信号源。“我们伪造了seu-wlan热点，在很多场合，信号强度都会大于源信号的强度，因此很多设备会被劫持到我们搭设的热点上。”

    社团揭秘

    他们自称“白帽子黑客”

    社团成员张书睿说，伪造静态的登录页面是最基本的“黑客技术”。东大“网络安全联盟”卧虎藏龙，“黑客”们还有更高端的“招数”。比如进行隐蔽的信息搜集，向有漏洞的移动设备投送木马，控制接入的移动设备，对访问的流量进行劫持，窥探其上网的动作等。“大家因为对黑客技术感兴趣聚在一起，经常切磋。”

    张书睿告诉记者，东大“网络安全联盟”有几十名会员，大部分为男生也有女生，成员并非大家印象中的会恶意破坏网络、侵入电脑。他们更愿意管自己叫“白帽子黑客”。“和黑客的恶意攻击不同，‘白帽子’是善意的，发现漏洞都会及时提交给网站，建议或帮助网站进行修补，就像医生诊断治疗疾病。我们不会做违法的事，这一点很关键。”

    张书睿透露，东大“网络安全联盟”有一名已毕业的老会员，找到某商业网站的漏洞，对方奖励了500美元。

    特别提醒

    别轻易设置手机 无线网“自动连接”

    “设计这次演练，想提醒大家提高对网络安全的重视。” 刘延栋建议说，手机不要轻易连接陌生的无线网络。

    如果已经连上了虚假热点，是否有办法识别是真的热点还是钓鱼热点呢？刘延栋推荐了几种甄别方案。第一种，随手输入用户名、密码，看看反应如何。如果测试中热点会跳转到异常页面，证明此热点是钓鱼热点。还有种办法，“https 查看url前的协议是否为https，https表示为安全的http，在传输过程中对http流量进行了加密，因此较为安全。但是，如果前期没有处理好，攻击者完全可以将流量解密为明文流量，结论还是有漏洞。”

    有这样一句话，互联网并不安全，你没被黑很可能是你还没有被黑的价值。“在支付等关键操作时尽量不使用公共热点，同时保持适当的警惕性，察觉到异常时及时更换密码，一般就没有问题了。”（通讯员 唐瑭 扬子晚报全媒体记者 蔡蕴琦）