宋高远标志性地嘿嘿一笑，转身冲舒芷涵招招手：“镁铝，过来给警官蜀黍露一手。”
舒芷涵捧着自己的dell笔记本走过来，半路还冲陈默笑了笑，笑完了站到一堆高手中间，已经是面色沉静如水。她将自己的笔记本电脑放在一张桌子上，漆黑的屏幕上空无一物，光标在左上角一闪一闪，这是一个linux系统，没准就是昨天中午安装的centos。
陈默忍着头痛，用自己的超级视角看了看，屏幕上方有一个自动隐藏的菜单，鼠标接近的时候才自动下拉显现的那种。菜单的颜色很熟悉，陈默认出那是vmware，不知道是8.0还是8.1。
“这是一台虚拟机，系统，”舒芷涵熟练地敲击键盘，屏幕上开始显示内容， “它运行的是ftp服务，但这只是表象，”舒芷涵调出一个运行在命令行下的监控界面，密密麻麻的指标在屏幕上挤成一团，“实际上，这是……”
“一个蜜罐系统！”徐冰冰和小关几乎是异口同声叫了出来。
舒芷涵输入长长的指令，监控界面的数据随着她敲击的回车不断地刷新和翻滚：“是的，一个空密码蜜罐系统，虽然简单，但恰好足以记录自动脚本的绝大多数信息！ ”
空密码的蜜罐！这样的蜜罐系统是太简单了，简单到稍有常识的黑客都不会闯进来，但就是这么简单的蜜罐，拿来对付这种自动化的攻击脚本却是再合适不过——这些脚本都包含了判断空密码并登陆的模块。
徐冰冰的眼睛亮了起来，但亮了一会又暗淡下去：“这个……蜜罐，能记录多少信息？”
听口气有点信心不足，想想也是，作为黑客组织排行榜上的常客，沙盟不止一次面对过cia和fbi的系统里那更为隐蔽更为复杂的“蜜罐”，与之相比，舒芷涵的这一个可能连小孩过家家都算不上！
很有可能，沙盟的自动化脚本里已经加了绕开此类系统的判断。
能留下最后一层跳板的ip就很不错了。
舒芷涵抱歉地冲她笑了笑，但说的话不怎么抱歉：“记录的信息很多，几十g吧，需要分析很长时间，没办法，这是一个简单的系统，没有加甄别和自动分析模块。”她说着敲了一行查询命令，真的刷出来满屏的日志，行家可以很容易地看出来那都是从tcp/ip数据包的包头强行抠下来的片段。
在网络层和传输层【作者注：网络结构里面的osi模型有7层，看官自行脑补】直接拦截数据包并提取信息，是很初级的蜜罐手段，但确实有效，唯一而且致命的不足之处在于，数据包的数量很庞大，即使只记录其中少部分信息，所得仍然是令人望而生畏的数据量。
很笨的办法，但确实能记下东西。
网警小关扫了一眼屏幕，叹口气道：“确实需要分析很长时间。但我觉得，在面对沙盟这样对常规手段几乎全部免疫的对手时，以力破巧，最笨的办法也许正是最聪明的办法。”
沙盟在快播内网横冲直撞，所向披靡，估计没预料到还会误入“蜜罐”里！
刘涛看看屏幕，看着舒芷涵和徐冰冰，问：“这个蜜罐记录了多少东西，以我们现有的条件，需要分析多久？”
舒芷涵查看了下磁盘利用率：“这台虚拟机分配的硬盘是默认的40g，只记录了三分钟的数据，磁盘就写满了，毕竟只是个简单的系统。”
40g的数据包片段！！
“大队那台小型机的处理能力跟不上的，”徐冰冰斟酌着，“如果想在两周内得到结果，需要提交到上级处理。”
南山网警大队的上级就是深圳市网警分局，全称是深圳市公安局公共信息网络安全监察分局。陈默知道那里有一台unix大型机，很阔绰，深圳钱不当钱，网警也有钱得很。
朱达欣毕竟不是技术帝出身的领导，这会问了个看起来很专业其实略有点外行的问题：“查找入侵者跟处理能力有什么关系呢？linux里面过滤下不就出来了么？”
徐冰冰笑着解释道：“朱总，数据包里的信息都杂乱无章，奇形怪状的乱码根本无法通过简单的过滤筛选出来，即使筛选出来也没法使用。对于初级蜜罐系统的信息解读，需要结合统计学和密码学模型，将大量数据统计分析并解密后才能还原其本来面目，而数据包的本来面目，还不是我们能直接识别的自然语言……所以，在这过程中需要大量的运算与分析。”
一直冷眼旁观的宋高远嗤笑一声，道：“徐警官，恕我直言，在这里能找到的证据，最多也只能到入侵者的后面几层跳板，这算不上沙盟证据的！即使你们真找到证据，像百度那样，证明这是rustleleague（沙盟）组织所为，又能如何？”
彪悍如百度，还不是得忍着？
你南山区网警大队，就能帮快播讨回个公道不成？
徐冰冰目视刘涛，刘涛道：“从昨天对百度的攻击行动看，攻击者对我国网络状况了如指掌，在我境内掌握大量的僵尸网络节点，具备随时大规模翻越我边境防火墙的能力，这一情况引起了上级部门的高度关注。”
瞬间都懂了，快播不重要，重要的是百度先被攻击了！
快播只不过是百度被攻击事件发酵后酿成的一杯美酒，顺着这杯酒喝下去可以深入攻击者的心脏，更多地得到攻击者的信息！
怪不得这伙人刚来的时候都不考虑快播死活，直接想让快播集体下班，他们接管这里好了！！
“在接到报警的一个小时内，我们也做了很多工作，拿到这里的数据后，整个链条接上是没有太大问题的。”徐冰冰很兴奋地接上刘老大的话，“至于说如果确定是沙盟所为，只要有确实证据，这个事情可以提交国际刑警，以反恐的名义侦办下去！”
以反恐的名义！
好法子，好魄力！
如果陈默什么都不懂，这会肯定已经在心里暗暗鼓掌了。可惜他不但都懂，而且清醒冷静地认识到，沙盟牙尖齿利，非易与之辈，即使真有谁能将之摧毁，临死必遭反噬！
不过谁遭什么反噬，跟他关系不大，他玩味着的是徐冰冰这番话的前半段。快播的网管是攻击一开始就报警了，南山网警大队的办公地址是南山区深南大道388号南山公安分局网警大队505室，离高新园撑死了不过十分钟的车程——而算下来，拨打了这个网警110后，足足快两个小时，才有人出现在快播！
这段时间里，这些人在吃午饭么？！