點(diǎn)擊上方Python知識(shí)圈，設(shè)為星標(biāo)

回復(fù)100獲取100題PDF

閱讀文本大概需要 5?分鐘

本文轉(zhuǎn)自數(shù)據(jù)保護(hù)官&菜跟老譚

一、開(kāi)發(fā)

KG公司2014年成立，早期做互聯(lián)網(wǎng)金融，2017年轉(zhuǎn)型做互聯(lián)網(wǎng)科技公司，主營(yíng)業(yè)務(wù)是“助貸”，也就為按揭貸款購(gòu)房的客戶提供贖樓及債務(wù)置換貸款等服務(wù)。

這個(gè)業(yè)務(wù)需要經(jīng)常性地訪問(wèn)政府居住證網(wǎng)站，查詢房產(chǎn)地址、房屋編碼和學(xué)區(qū)房的使用情況，用于做房產(chǎn)的市場(chǎng)評(píng)估和客戶風(fēng)險(xiǎn)評(píng)估。

因?yàn)槭謩?dòng)查詢效率低下，公司產(chǎn)品組經(jīng)討論后提出了一個(gè)建議——用爬蟲(chóng)軟件自動(dòng)查詢。

2017年12月，CTO安排新入職的程序員負(fù)責(zé)這個(gè)項(xiàng)目，要求他研發(fā)一個(gè)自動(dòng)定時(shí)抓取的小程序，主要用來(lái)查詢、下載網(wǎng)上的數(shù)據(jù)。

2018年1月，項(xiàng)目經(jīng)理給程序員一個(gè)抓取數(shù)據(jù)的程序源代碼，程序員開(kāi)始修改。

2018年3月，小程序被部署在阿某云服務(wù)器上自動(dòng)運(yùn)行，其內(nèi)置的“網(wǎng)絡(luò)爬蟲(chóng)”可以：

鏈接某市居住證網(wǎng)站，也就是某市公安局人口管理處的居住證系統(tǒng)；?

可以在某市居住證網(wǎng)站上查詢到房產(chǎn)地址、房屋編碼等對(duì)應(yīng)的資料；?

軟件對(duì)網(wǎng)站訪問(wèn)量能達(dá)到每小時(shí)數(shù)十萬(wàn)次。

查詢的信息都被下載保存到公司購(gòu)買的阿某云服務(wù)器上。

這個(gè)程序還被用于查詢房地產(chǎn)中介（中原地產(chǎn)、鏈家地產(chǎn)、Q房網(wǎng)等）在網(wǎng)上掛盤的房子信息，主要是查詢房?jī)r(jià)、用作參考。

二、出事

2018年4月27日10:43-12:00左右，居住證系統(tǒng)的承建單位發(fā)現(xiàn)系統(tǒng)出現(xiàn)宕機(jī)現(xiàn)象，追蹤到請(qǐng)求應(yīng)用服務(wù)器端口編號(hào)，但因日志缺失而無(wú)法定位IP來(lái)源，當(dāng)時(shí)懷疑是人為攻擊。

2018年5月2日10:00-12:00左右，系統(tǒng)再次遭遇攻擊，這次管理人員成功地截取了IP地址并報(bào)案。

此時(shí)，公司這邊還不知道惹禍了，直到2018年5月17日晚上11點(diǎn)，服務(wù)器維護(hù)人員接到了阿某云客服的電話。阿某云說(shuō)他們公司的服務(wù)器IP被網(wǎng)警鎖定了，因有攻擊行為，讓他們趕緊聯(lián)系網(wǎng)警。CTO隨即電話聯(lián)系研發(fā)人員（應(yīng)該是指程序員），對(duì)方說(shuō)估計(jì)是因?yàn)榫幼∽C網(wǎng)站加了驗(yàn)證碼，但公司程序沒(méi)做相應(yīng)的更新，就造成了程序出錯(cuò)發(fā)出攻擊行為。

5月攻擊事件的影響很大。

案發(fā)時(shí)，某市居住證服務(wù)平臺(tái)的注冊(cè)用戶超過(guò)530萬(wàn)，服務(wù)面包括：

所有市民的網(wǎng)上自助受理系統(tǒng)；

151個(gè)派出所、街道辦居住證受理點(diǎn)的現(xiàn)場(chǎng)受理系統(tǒng)；

后臺(tái)接口為市網(wǎng)格辦、市交警局、市民政局，市交委等多個(gè)政府部門提供居住證、居住登記條件查詢和審核。

居住證系統(tǒng)受攻擊癱瘓期間：

軟件對(duì)某市居住證系統(tǒng)查詢?cè)L問(wèn)量為每秒183次，共計(jì)查詢信息約151萬(wàn)條次，竊取大量建筑物編碼數(shù)據(jù)，造成政府信息泄漏；

所有居住證辦理、居住登記申報(bào)、信息查詢、對(duì)外服務(wù)功能均無(wú)法正常工作，影響面極廣；

市民無(wú)法辦理居住證和居住登記，相關(guān)生產(chǎn)生活秩序受到嚴(yán)重影響。

除了此次攻擊，還有一些派出所出具證明證實(shí)5月期間經(jīng)常出現(xiàn)系統(tǒng)無(wú)法登陸，錄入過(guò)程頻繁出現(xiàn)掉線、系統(tǒng)數(shù)據(jù)異常等情況。居住證系統(tǒng)無(wú)法正常使用、出現(xiàn)異常情況的時(shí)間長(zhǎng)達(dá)一個(gè)多月。

三、供述

2018年8月，CTO、程序員被捕。

公安分局依法對(duì)公司進(jìn)行搜查，提取應(yīng)用程序源程序，應(yīng)用程序日志及運(yùn)行在服務(wù)器獲取的數(shù)據(jù)。經(jīng)司法鑒定所鑒定確認(rèn)：

導(dǎo)出的庫(kù)備份中檢出多個(gè)包含房產(chǎn)信息的數(shù)據(jù)表，包括房產(chǎn)的所處位置、樓宇編號(hào)、房間編號(hào)等信息，約有2905萬(wàn)條；

在程序員的電腦上檢測(cè)出爬蟲(chóng)程序的源代碼；

在IP地址為XXXX的服務(wù)器檢出爬蟲(chóng)程序，這兩個(gè)爬蟲(chóng)軟件程序均使用遍歷查詢的方式短時(shí)間向目標(biāo)網(wǎng)址URL地址“......”發(fā)起大量查詢請(qǐng)求，從而實(shí)現(xiàn)非授權(quán)下載數(shù)據(jù)庫(kù)內(nèi)容。

針對(duì)某市居住證網(wǎng)站及服務(wù)器的司法鑒定意見(jiàn)確認(rèn)：

網(wǎng)站遭受自動(dòng)化程序攻擊。IPXXXX對(duì)居住證服務(wù)器的持續(xù)大量的訪問(wèn)造成了平臺(tái)在……期間無(wú)法正常對(duì)外提供服務(wù)，服務(wù)器無(wú)法正常運(yùn)行。

CTO供述和辯解時(shí)說(shuō)：

爬取的是公開(kāi)信息，沒(méi)有任何惡意去攻擊網(wǎng)站和系統(tǒng)，只是為了提高查詢效率。沒(méi)有爬取個(gè)人信息，沒(méi)有在市場(chǎng)上買賣或者和其他公司搞資源置換，沒(méi)有通過(guò)查詢某市居住證網(wǎng)站信息獲利。軟件是公司管理層開(kāi)會(huì)決定開(kāi)發(fā)的，由法定代表人交代技術(shù)部研發(fā)，系統(tǒng)里的查詢和下載功能是程序員程序員負(fù)責(zé)開(kāi)發(fā)的。程序員設(shè)定的是每周三次自動(dòng)查詢，后面怎么實(shí)施的我也不清楚，主要是程序員負(fù)責(zé)。

他還說(shuō)自己也知道“從技術(shù)上來(lái)講，如果超過(guò)服務(wù)器承載能力的查詢肯定會(huì)引起系統(tǒng)卡頓或癱瘓”，但因不清楚網(wǎng)站和系統(tǒng)的承載能力，加上心存僥幸，就只是口頭提醒同事在服務(wù)器晚間相對(duì)空閑的時(shí)候去查詢，控制一下頻率。

程序員供述和辯解時(shí)稱：

不清楚抓取數(shù)據(jù)的原程序是誰(shuí)研發(fā)的，沒(méi)有因查詢居住證網(wǎng)站而獲利，這是工作任務(wù)。3月份后就去做公司安排的其他任務(wù)了，這個(gè)程序在服務(wù)器上啟動(dòng)后，也沒(méi)有對(duì)程序做修改和更新，也沒(méi)有進(jìn)入服務(wù)器的權(quán)限，權(quán)限在運(yùn)維部門。沒(méi)有爬取個(gè)人信息，沒(méi)有在市場(chǎng)上買賣或者和其他公司搞資源置換，只是用于公司業(yè)務(wù)上的參考。4月27日在公司，5月2日在日本，當(dāng)時(shí)沒(méi)對(duì)程序作出修改，猜測(cè)是因?yàn)榫幼∽C平臺(tái)更新了驗(yàn)證碼登陸功能，而我們的查詢軟件未做相應(yīng)的更新，導(dǎo)致程序出錯(cuò)，發(fā)出攻擊行為。

四、判決

二被告對(duì)起訴狀中指控的罪名沒(méi)有異議，只是希望能輕判。做罪輕辯護(hù)時(shí)：

都提出自己只是過(guò)失、疏忽大意，沒(méi)有預(yù)見(jiàn)可能會(huì)造成的后果，主觀上完全沒(méi)有破壞系統(tǒng)的故意；

都提出爬取的是公開(kāi)信息，只是為了讓公司業(yè)務(wù)更高效，并沒(méi)有以此牟利；

CTO認(rèn)為自己授權(quán)程序員開(kāi)發(fā)爬蟲(chóng)程序，只是一次性爬取，并未要求每天自動(dòng)爬取，不是主犯；

程序員認(rèn)為自己只是按領(lǐng)導(dǎo)指示、完成工作任務(wù)……

法院認(rèn)為，二人違反國(guó)家規(guī)定，對(duì)計(jì)算機(jī)信息系統(tǒng)進(jìn)行干擾，造成為5萬(wàn)以上用戶提供服務(wù)的計(jì)算機(jī)信息系統(tǒng)不能正常運(yùn)行累計(jì)1小時(shí)以上，屬于后果特別嚴(yán)重，應(yīng)以破壞計(jì)算機(jī)信息系統(tǒng)罪追究其刑事責(zé)任。

CTO，負(fù)責(zé)并授權(quán)程序員開(kāi)發(fā)涉案爬蟲(chóng)軟件，系主犯，判處有期徒刑三年 程序員受指派開(kāi)發(fā)爬蟲(chóng)軟件，在共同犯罪中起次要作用，系從犯，判處有期徒刑一年六個(gè)月。

最高人民法院、最高人民檢察院關(guān)于辦理危害計(jì)算機(jī)信息系統(tǒng)安全刑事案件應(yīng)用法律若千問(wèn)題的解釋

至于這個(gè)案子里的其他人，從公司的法定代表人、提出建議的產(chǎn)品經(jīng)理、傳達(dá)任務(wù)和給源代碼的項(xiàng)目經(jīng)理，到使用數(shù)據(jù)的業(yè)務(wù)部門的同事，都沒(méi)責(zé)任，法務(wù)/合規(guī)/風(fēng)控看起來(lái)更是從未出現(xiàn)。

總體來(lái)說(shuō)，正常經(jīng)營(yíng)的公司，網(wǎng)絡(luò)爬取數(shù)據(jù)引發(fā)民事糾紛的常見(jiàn)，涉刑的不常見(jiàn)。立項(xiàng)時(shí)多問(wèn)一句“我們這么做有沒(méi)有風(fēng)險(xiǎn)”“會(huì)不會(huì)出事”沒(méi)壞處，畢竟看起來(lái)是“集體決策”的決策最后往往并不是集體買單！

最后：警鐘長(zhǎng)鳴，愿各位珍重，做一個(gè)守法、護(hù)法、有原則的技術(shù)人員。

PS：我自己建了一個(gè)每天可領(lǐng)外賣優(yōu)惠券的號(hào)，我經(jīng)常領(lǐng)到15元的無(wú)門檻券，不花冤枉錢~

加微信送《Python知識(shí)點(diǎn)100題PDF》

pk哥個(gè)人微信

添加pk哥個(gè)人微信即送Python資料

→?Python知識(shí)點(diǎn)100題的PDF
→?Python相關(guān)的電子書10本

記得備注：“100題”



往期推薦
01
終于，我用爬蟲(chóng)批量保存了P站的靚圖
02
Python經(jīng)典100題PDF整理
03
求你了，別再用 pip 那烏龜?shù)乃俣热グ惭b庫(kù)了！
我就知道你“在看”