黑客攻击中肉鸡的认识

2016年冬天，黑客Mirai僵尸网络搞瘫了大半个美国互联网。攻击Twitter、中肉Netflix、认识Reddit集体掉线，黑客原因不是攻击黑客有多厉害，而是中肉他们手里攥着几十万台被感染的摄像头和路由器。这些设备的认识主人根本不知道自己家的监控探头正在替别人打工。这就是黑客肉鸡——你花钱买的设备，替别人卖命。攻击

肉鸡（Bot）说白了就是中肉被远程控制的计算机。攻击者通过木马、认识漏洞或者弱密码把恶意程序塞进你的黑客设备，然后这台机器就成了他的攻击提线木偶。你正常上网，中肉它同时在后台执行指令。你感觉不到，杀毒软件有时候也查不出来。

肉鸡的获取方式比多数人想的要粗糙。弱密码是最常见的入口。很多人买回路由器，admin/admin从头用到报废。2016年Mirai的源码里，硬编码了六十多组默认密码，就靠这个横扫全球物联网设备。另一种是钓鱼邮件——附件打开，木马落地，机器易主。还有一种是利用未修补的漏洞，永恒之蓝就是典型，2017年WannaCry用它一口气感染了二十多万台机器。

单台肉鸡不值钱。值钱的是规模。十万台肉鸡组成的僵尸网络，可以发起每秒数Tbps的DDoS流量，足够把任何没有高防的网站打穿。也可以群发垃圾邮件——据统计，全球垃圾邮件中约七成来自僵尸网络。还能用来挖矿、做代理跳板、盗取数据。攻击者把肉鸡当消耗品，用完即弃。

黑色产业链里，肉鸡是明码标价的商品。地下论坛上，一千台肉鸡的报价可能只要几十美元。按地区分，欧美IP更贵，亚洲IP便宜。按设备类型分，服务器肉鸡比家用PC值钱，因为带宽大、在线时间长。有人专门做“肉鸡商人”，批量扫描、感染、出售，一条龙服务。

被当成肉鸡的设备，通常有几个征兆：风扇狂转但CPU占用不高（挖矿），网络异常卡顿（DDoS），宽带流量莫名其妙跑满，或者浏览器主页被篡改。但更多时候，你什么都察觉不到。肉鸡程序会伪装成系统进程，隐藏通信流量，甚至能对抗杀毒软件。一台肉鸡可以安静运行几个月不被发现。

防御这件事，说复杂也复杂，说简单也简单。路由器固件保持更新，别用默认密码，关闭不必要的远程管理端口。电脑别乱点邮件附件，操作系统补丁及时打。IoT设备尤其要注意——厂商往往不提供长期更新，买的时候就得选有安全维护记录的牌子。企业层面，网络分段和出口流量监控能有效限制肉鸡的横向移动。

我自己的习惯是：家里路由器每半年检查一次固件版本，SSH和Telnet默认关闭，管理密码用密码管理器生成。听起来麻烦，但比起某天发现自己成了DDoS攻击的帮凶，这点麻烦不算什么。

肉鸡问题的本质不是技术漏洞，是安全意识的缺口。攻击者不需要攻破最坚固的堡垒，他们只需要找到最懒的那个用户。你的设备是不是肉鸡，不取决于黑客有多强，取决于你有多不在意。