專訪」新世界黑客組織「成員Kapustkiy

去年年底，美國 DNS 域名服務提供商 Dyn 遭到了大規模的DDoS攻擊。此次攻擊，成功導致了美國東海岸地區的大量網站下線。隨後，新世界黑客組織（New World Hackers）更是公開宣稱，此次 Dyn 殭屍網路攻擊事件由他們負責。甚至，還派出了小組的一位資料庫專家，對外公開解釋了部分的攻擊細節，包括他們是如何發起攻擊的，如何竊取數據以及攻擊的目的。

他總是一個人坐在電腦前，周圍出奇的安靜沒有一點嘈雜......他正目不轉睛的盯著電腦屏幕，飛快的敲打著鍵盤。沒錯，這就是他日常的工作狀態。不知是誰，又成為了他們的目標，企業或者是政府機構。

「我不喜歡聽音樂，」他說。「因為，音樂會讓我無法專註於我的工作。」他的房間很空蕩，一張不大的辦公桌和一台電腦，還有一張單人床。我簡單的環顧了整個房間，一張帶有微軟認證標誌的證書和兩張 Anonymous 和 LulzSec 黑客組織的海報，在牆上顯得格外醒目。「我滲透時，依然會使用到許多基礎的方法，那些都很簡單易學，」他說。「我受到 LulzSec 的啟發，常常會使用像 SQL [injection] 這樣的攻擊方法。」

Kapustkiy 將自己描述為「滲透測試者」。 「我想賺錢[利用我的技術]，所以我常常會去挖掘一些網站的漏洞，然後提交給一些平台機構，來換取獎金。或者是為一些有特定需求的客戶，提供一些技術服務，來獲取他們的賞金。「為了證明他自己所說屬實，他還向我提供了他的客戶截圖。同時他還表示，攻擊政府只是為了表達不滿和抗議的一種形式。「目前，我正在委內瑞拉政府工作，我對尼古拉斯·馬杜羅執政非常不滿，」他說。

Kapustkiy 比較擅長於，資料庫方面的漏洞利用。「如果我想入侵一個網站，我首先會使用手動的方式來查找漏洞。這時，我一般都會從那些最常用的方法開始嘗試。例如：SQL，LFI，XSS 和 暴力破解。除此之外，我可能還會用到一些社會工程學方面的工具，這樣能使我更好的完成我的任務，」 Kapustkiy 解釋道。如果這些方法沒有找到我想要的，那麼我將會嘗試使用 web 漏洞掃描器，來幫助我查找漏洞。

在成功的攻擊了幾個知名大大使館後，Kapustkiy 申請加入了臭名昭著的黑客組織新世界黑客組織。這是一群年輕而又瘋狂的黑客，他們聲稱對去年發生的，美國 DNS 服務商 Dny 遭大規模 DDoS 攻擊事件負責。雖然，NWH 是否真正參與了 Dyn 的攻擊，很難被證實。但在其宣布一系列針對 BBC，Twitter 和 Spotify 的類似 DDoS 攻擊事件由他們負責後，該組織的政治性動機也愈發明顯，並在2016年大幅提升。

Kapustkiy 被 NWH 展現出的驚人天賦，和那一次又一次的輝煌戰績所吸引。其他的那些團隊也很棒，他說，「但不如[新世界黑客]他們那樣熟練，我想提升我的技能，他們是最好的選擇。」加入該組織後，他將繼續以一名安全測試員的身份工作並賺錢。同時，他還會幫助組織完成一些 0 day 的利用任務。「這些 0 day 都是我從暗網上購買的，但我從來不會在暗網上賣自己的東西，」他說。

在接受 TechRepublic 的採訪中， Kapustkiy 解釋了，他和他黑客同事的攻擊動機，以及他是如何攻擊和入侵系統，如何出售竊取數據等一系列疑問。他的報價在下文略有編輯。

你是誰？

嗨！我是 Kapustkiy。 我喜歡將自己描述為，一名滲透測試者或安全研究員。（抱歉，英語不是我的第一語言。）

你是什麼時候開始學習黑客技術的，又是如何學習的？

我是怎麼做的？當我還是[一個青少年]的時候，我就開始了我的黑客生涯。我之所以想成為一名黑客，完全是因為受到了一個名為 LulzSec 的黑客團體的影響。那時我非常的崇拜他們[現在亦是如此]，我想成為像他們一樣的人物。但那時的我很年輕，對黑客這個團體並不是特別了解，更不懂什麼黑客技術。所以，我決定做一些有關這方面的研究，例如 LulzSec 是如何侵入一個網站的。我發現了一篇關於他們黑網站的技術文章，從那一刻起，我便開始迷戀上了這些東西，並不斷深入研究它們。

你所做的是合法的嗎？你擔心自己被抓嗎？

在我第一次成功入侵進印度大使館，並被新聞媒體在頭條報道後，我確實有點害怕被抓。因為我在一些報道中看到，他們正試圖通過一些技術手段，來追蹤我的 IP。事件發生後，我開始幫助他們修復漏洞，並告訴他們，管理這些重要的數據時，做好安全防護是如何的重要。我沒有將所有的泄露數據公布，只是將其中的一小部分給公開出來。我這麼做，只是希望他們能意識到事態的嚴重性。這是合法的嗎？在我看來，它是合法的。因為你只是泄露了一小部分數據，來讓他們意識到自身的問題。還總是向他們報告漏洞，讓他們知道你正試圖在幫助他們。

你的動機是什麼？

觸使我這麼做動機有很多。很多的管理員都會非常感激我，因為我幫助他們提升了網站的安全性。我還因此得到過，印度大使館和義大利政府的「謝謝」。他們已經修復好了漏洞，我為自己感到自豪。

為什麼你認為自己是滲透測試者，而不是黑客？

很多人都問過我同樣的問題，我之所以將自己描述為滲透測試者而不是黑客，是因為我喜歡幫助那些網站提高它們的安全性，而不是黑它們。我一直把我的重點放在 Web /網路安全，而不是其他的東西。 在我看來，黑客必須是一個知識面非常廣的人。

能詳細描述下你的黑客歷史，並解釋你的個人目標嗎？

在我還是青少年時期，我就開始了我的黑客生涯。我做的第一件事，就是了解 SQL 注入攻擊和我能用它來做什麼。因此，我入侵了英國大學的官網，並脫了他們的資料庫，這導致了他們的官網三天無法被正常訪問。之後，我意識到了我那樣做是錯的，因此我決定不再這麼做了。我設法突破了印度大使館，義大利政府，威斯康星大學，匈牙利人權基金會等。我入侵他們的網站，是想讓他們意識到數據泄露問題的嚴重性。同時，我也會盡我所能的幫助那些管理員來修復漏洞，這些都是我的目標。讓他們看到危險，並提高他們的安全性。

你和其他一些黑客團體保持友好關係嗎？

我是一個名為「強大的希臘軍隊」黑客組織的前成員之一。我也知道[其他黑客團體]的一些成員。我有時會與他們取得聯絡。

你是如何賺錢的？

我會嘗試在我國家範圍內的網站中尋找漏洞（大多數都是XSS），並幫助管理員們修復它們，或者向他們報告相關漏洞，讓他們自己去嘗試修復。PS：我只會將我的時間花在尋找一些大站的漏洞，像銀行或大學的網站。

能談談你的滲透策略嗎？

這很簡單，我做的事其實並不難。我的第一件事，就是將可能存在安全隱患的網站列出來，然後我會使用一些工具（像 PentestBox）來尋找漏洞。 最後，但並非不重要。 我會嘗試訪問資料庫，並將我找到的漏洞報告給管理員們。

當你進入一個系統，你希望找到什麼？

我希望能找到一些包含個人信息的數據，像真實姓名，地址，電話號碼等。在我看來，這比尋找用戶名和密碼更為重要，因為你無法重置你的個人信息。

你有什麼不可逾越的紅線或者說什麼是你堅決不會做的？

我絕不會泄露人們的個人信息，例如他們的地址或銀行信息。

企業和個人該如何保護自己免受黑客攻擊？

我認為溝通是最重要的事情之一。大多數公司對發來的郵件都不是特別在意，甚至連看都不看一眼。有很多人通過郵件向他們報告漏洞，但卻很難得到他們的回應。 另外，你還需要定期的對你的網站做滲透測試，這樣能讓你及時的發現並修復一些問題，提升網站的安全性。沒有絕對安全的系統，但我們總是可以通過安全加固，來增加黑客入侵的難度。

為了保護 Kapustkiy 的匿名及安全，本次採訪 TechRepublic 使用了加密的應用程序，與 Kapustkiy 溝通。再次重申，TechRepublic 不支持任何違法犯罪和不道德的行為。

*參考來源

techrepublic

，FB小編 secist 編譯，轉載請註明來自FreeBuf.COM