入侵过太多的站点，以至于他没有为自己的这次得手有 任何的沾沾自喜，事实上他取得的成绩比他预先期望的还要好，而 且还会越来越好。他紧接着发现了为雇员搜索站点时设计的嵌入式 搜索引擎。他说，”系统管理员通常没有将这些东两进行适当设置， 他们允许你做一些本来要禁止的搜索。“在这里正是这种情况，Adrian将他们的这个”恩典“叫作”致 命的一击“.某个时报系统管理员在其中的一个目录中放置了一个 实用程序，允许所谓的自由形式的SQL（结构化查询语言）査洵。SQL 是大多数数据库的脚本语言。就是在这种情况下，一个对话框弹了 出来，允许Adrian在非授权的情况下直接输入SQL命令，这表示 他也可以任意地且直接地查找系统里任何数据资料，摘录或更改入侵的艺术曰息。
    
    他发现邮件服务器运行在Lotus Notes上。黑客们都知道Notes 的旧版本允许用户浏览系统中的其他数据库，而时报这个部分运行 的正是旧版本的Notes.Adrian无意中发现的Lotus Notes数据库给 了他一个”最大的意外，因为里面包含了全部的报刊摊位主的资料， 他们幵设的账户及社会安全号码“,”这里也有订户信息，还有有 关服务投诉或咨询的信息。“问到时报运行的是什么操作系统时，Adrian说他不知道，”我 并不那样看网络“,他解释说。
    
    这与技术无关，而与人以及他们怎样设置网络有关。很多人容 易被揣测，我一次又一次地发现人们用同样的方式建造网络。
    
    许多电子商业站点在这点上犯错误。他们总是想像人们会用正 规的方式登录，没有人会不按牌理出牌。
    
    因为这种可预测性，聪明的入侵者可以在在线的Web站点输 入一个定购单，经历购买过程，进入需要进行资料校验的位置，然 后倒退回来，修改账户信息。黑客得到商品；而另外的人用信用卡 支付（尽管Adrian详尽解释了这个过程，但他特别嘱咐我们不要对 此有太多描叙，以免其他人效仿）。
    
    他的观点是，系统管理员通常没有考虑到入侵者的想法，这使 黑客的工作变得比较容易。这也可以解释他能进一步渗透时报计算 机网络的原因。内部搜索引擎不应该能搜索到全部站点，但它却是 如此。他发现一个建立SQL表格的程序，这个程序允许他对数据 库进行控制，包括对摘录信息进行分类。然后他需要在那个系统中 找到数据库的名称，从而寻找有意义的资料。用这种方式，他找到 了一个非常有价值的数据库，这里显示了《纽约时报》所有员工的 用户名和口令的清单。
    
    事后显示，这呰口令都相当简单，大部分是个人社会安全号码 的后四位数。并且进入公司要害部门不需要额外的口令--即员工 的同一个口令在系统内的任何地方都可以使用。并且Adrian表示第5章黑客中的绿林好汉据他所知，今天时报的口令系统并不比他入侵时更为安全。
    
    从那里，我可以回返到企业内部互连网，从而登录获取其他的 信息。我可以像新闻经理一样，用他的口令进入到新闻桌面。
    
    他发现了一个数据库，里面记录了被美国指控恐怖主义的人员 名单，其中包括未向公众公布的名单。继续查找，他发现了一个为 时报写过专栏的作者的数据库，这里有数千名投稿者的姓名、住址、 电话号码以及社会安全号码。他试着査找”Kennedy“,马上获得 了好几页相关的信息。这个数据库列入了许多大腕和社会名流的相 关信息，从哈佛教授到Robert Redford以及Rush Limbaugh等不一 而足。
    
    添加了自己的名字和电话号码（参照北伽利弗尼亚地区 代码取的：505-HACK）。显然，看着这些文件不会预料到这个列表 已被粘贴在此，很显然希望一些记者和专栏编辑有可能进入。他把 自己登记为”汁算机入侵/安全与通信智能专家这种行为也许不合适，甚至是无可原谅的。但即便是这样，在 我看来这种行为并没有什么害处，反而很有趣。我至今一想到 Adrian打电话时的鬼主意就发笑：“喂，是Lamo先生吗？我是《纽 约时报》那个叫‘某某’的人。”然后，他被称赞了一番，甚至被 要求写一篇600字的关于计算机安全状态或诸如此类的文章，文章 将于第二天在这份国内最有影响力的报纸专栏上出现。
    
    的传奇故事还未讲完；但接下来的一点也不有趣了。其 实这件事不一定会发生的，这样做并不是Adrian的本意，但它却 将Adrian卷入了一场大麻烦中。Adrian发现他能从时报的订阅区 进入到LexisNexis--这是一个在线的服务器，通过收费允许用户 访问法律及新闻信息。
    
    官方言论称，Adrian先后建立了 5个独立的账号，这些帐号并 没有花一分钱，并实行了大规模的搜索--约3000多次。
    
    在时报的LexisNexis里浏览三个月后，《纽约时报》竟完全不 知道他们的账号己被入侵了。Adrian决定又启用以前入侵其他公司入侵的艺术的绿林好汉行为。他与一个有名的网络记者取得联系（像我一样以 前是黑客），跟他说明自己已经发现了《纽约时报》计算机网络的 缺陷，最后达成一项协议：记者得首先提醒时报，直到他们将漏洞 补好为止，记者才能发表有关入侵的消息。
    
    这个记者告诉我，当他与时报取得联系时，对话并没有不像他 或Adrian所预料的那样好。他说，时报对他所说的并不感兴趣， 并不需要他提供任何信息，也没有兴趣与Adrian直接对话讨论细 节问题，他们将会自行解决。时报工作人员甚至对黑客如何闯入的 方式都不感兴趣，只在记者的坚持下才同意写下细节性问题。
    
    时报证实了这个漏洞，并于48小时内补上了，Adrian说道。 但时报的执行官们对别人的提醒没有任何感激。早期Giriies的入 侵事件使他们承受了很大的舆论压力，这次的尴尬处境只会使事情 更糟，因为事件“制造者”从来都没有现身。（我与此入侵无关， 当时我正禁闭受审）。我敢肯定此前他们的IT人员承受了很大压力， 并努力不再成为入侵的受害者。所以Adrian对他们计算机网络的 利用可能极大地伤害了他们的自尊心和名誉，这也许可以用来解释 当知道Adrian利用了他们“非本意的慷慨供给”数月之后，为什 么态度如此强硬。
    
    也许时报愿意为此表示感激--在计算机系统的缺陷公诸于 世前，给了他们时间修补漏洞。也许只是在他们发现Adrian使用 LexisNexis后，才变得如此倔强。讲不清什么原因，时报头目采取 了 Adrian的其他受害者从未使用的手段--他们请到了联邦调查 人员。
    
    几个月后Adrian听说联邦调查人员在找他，他就躲起来了。 联邦调査员开始调查他的家人、朋友以及与他打交道的人--将这 些人盯得死死的，试图找出可能与他联系的记者，然后找出他的藏 身之所。其中还有一个大脑缺氧的计划，他们企图传票给那些曾与 Adrian联系过的记者。
    
    仅5天后，Adrian就放弃了挣扎。他选择了在一个他最喜爱的 地方投降：星巴克咖啡馆。
    
    第5章黑客中的绿林好汉当这场风波平息时，纽约南部地区的美国法律办公室发表了一 个报告：因Adrian入侵时报，“导致时报损失达300, 000美元”. 据政府声称，他呆在时报网站上的时间里，不劳而获的财产占《纽 约时报》上完成的所有LexisNexis搜索额的显然，政府计算出这笔费用是为“你我这样的民众”在“申诉” --但除了 LexisNexis订户--对他们来说，做一个个人搜索，每 个咨询费用就花12美元。即使以这种高价计算，Adrian必须每天 进行270次搜索咨询或其他的活动，三个月才累积那样高的数额。 而像时报这样的大公司，肯定为LexisNexis用户办理了月卡套餐 --月初交一定的钱，然后当月可以无限制地登录，这样Adrian 可能没有从中拿到一分钱。
    
    对Adrian来说，《纽约时报》事件是他黑客生涯中的一个意 外的插曲。他说，以前他得到Excite@Home和MCIWorldcom公 司的感谢（Adrian能将百名员工的直接储蓄转到自己的账户，但他 没有这么做，为此他们深表敬意。）。Adrian说：“《纽约时报》 是仅有的想看到我被起诉的一个。”这些话并不是在挖苦，而仅仅 是在陈述事实。

　　请记住本书首发域名：www.llskw.org。来奇网电子书手机版阅读网址：m.llskw.org