前几日在朋友圈看到一则消息：“暗网最大托管商被黑客攻击，6500+网站被删”，遂找了一位安全技术大佬聊了聊，给大家分享一下这个“黑吃黑”的小故事。

1

北京时间 2018年11月16日早上9点，安全工程师小杨开机没两分钟就发现不太对劲：

“暗网雷达”显示，暗网的网站存活数从一万两千多猛降到八千多，只用了一天。

暗网雷达是404实验室研发的一款黑客工具，它时刻监测暗网的动向，本意是帮助人们搜寻来自暗网的“威胁情报”，因为暗网上常常曝出一些数据泄露和黑客入侵的消息。但这次，它监测了到更大的情况。

“一夜之间， 接近3000个暗网网站都挂了？” 小杨不敢相信自己的眼睛。毕竟，那可是暗网。

暗网上有毒品、有枪支、有色情交易，它是很多人眼里的“法外之地”，因为暗网上的用户都是匿名。

访问者通常利用一个叫 Tor 的技术，经过层层跳转来到暗网。就像警匪电影里那样，经过一道道马仔传话才能找到毒品交易现场。

Tor 的中文名是“洋葱路由”（The onion router），在洋葱皮一般的层层身份掩护下，人们为所欲为。

据说，暗网中经常出现令人不适的内容，就连在搜索引擎里输入“暗网”两个字，也会蹦出令人不舒服的字眼：

（从女孩的贴身原味内衣丝袜，到摄像头信息、假币、再到快递身份证……各种东西应有尽有，但所有交易信息都不辨真伪，毕竟在这样一个黑暗丛林，黑吃黑的事随时可能发生。图片来自浅黑科技微博）

国际警察、美国的 FBI （美国联邦调查局）等机构曾经多次对暗网的网站进行打击，捣毁了不少网站，也抓了一些人，可这些网站依然此消彼长，总有人铤而走险，恶向胆边生。

“怎么会一夜之间就关闭了两三千个网站？” 起初小杨以为是暗网雷达监测出错，他赶紧告诉实验室负责人，排查一切可能存在的故障。

到了晚上，到了第二天，故障没发现一个，“消失的网站”倒是越来越多。

根据“暗网雷达”11月19日的数据显示：原本一万二左右个暗网存活网站已经阵亡到只剩 5478个，剩下的似乎也生死未卜，整个暗网感觉快变成“薛定谔的暗网”。

究竟发生了什么？

小杨忽然想起去年暗网发生的一件大事。

2

暗网网站一夜消失的情况并未首次发生。

去年（2017年）2月份前后就发生过一次。当时暗网网站一夜之间消失了一万多个，大约占当时整个暗网的五分之一。

当时，暗网最大的服务托管商 Freedom Hosting II （FH2）遭黑客攻击，几万个跑在他们服务器上的网站直接被一锅端。一个匿名黑客在被黑掉的托管商的主页上放了一封信，声称对攻击负责。

原来，黑客一开始并没打算干掉 FH2，他们只是搞到了数据读取权限。

但是，他们在上面发现很多成人动作片网站，以及很多……儿童色情网站，主页上挂出的图片不堪入目。（很多国家对儿童色情都是零容忍态度）

“发车也罢，可这是校车啊！”，而且我们还发现管理员收了托管费，所以他显然知道这事儿。” 一怒之下，匿名黑客这才决定擦擦键盘，删库跑路。 至此，一万多个暗网网站被干掉。

有人怀疑那次行动是知名黑客组织“匿名者”（Anonymous）干的，他们曾做过许多正义的事，比如黑进 ISIS 恐怖组织之类的。

也有人说不是，毕竟所有匿名的黑客都可以甩锅给“匿名者”。

但不管是谁，那次行动对整个暗网产生了很深远的影响。

或许是出于对“匿名者”的忌惮，暗网的不少其他网站也在纷纷关闭。2017年3月份有机构统计，整个暗网四千多个存活的网站节点，跟“鼎盛”时期相比，已经减少了85%。

这次又是“匿名者”黑客出手了？也未必，兴许是 FBI 或者国际警察干的。

FBI 就常年盯着暗网，据说早在2013年他们就曾控制过暗网最大托管商 Freedom Hosting 的服务器，收集信息起诉了浏览儿童色情的暗网用户。（居然抓的人看片而不是卖片的，看来真是“没有买卖就没有杀害”，打击儿童色情从我做起……）

荷兰、德国、英国等十几个国家地区的执法机构也经常在暗网搞出一些大事。比如 2016 年的“刺刀行动”中，他们直接抓到了暗网最大的非法交易网站 Hansa 的管理员，控制了网站权限。

但那次警方并没有直接端掉网站，而是直接接管了个网站，在上面继续提供交易平台。最终钓出一百多个毒贩，掌握了42万个暗网网站注册用户的资料，追查到一万多个人的家庭住址。

那次行动也是搞得犯罪分子们人心惶惶，整个暗网活跃度一下子降低了不少。

这次是警察又出动了吗？

到了18号，小杨去国外新闻网站一查，发现有一条热乎的黑客新闻：

原来是黑客干的。

他们顺着新闻找到被黑掉的暗网托管商 Daniel’s Hosting，发现网站主页上贴着一则公告。

不过，内容貌似不是“匿名者”留的，而是被黑的站长 Daniel 自己写的。

根据描述，国际时间11月15日晚上10点左右，黑客不知用了什么方法秘密登录了服务器主机，删除了所有账户，包括可以注入数据库的 “root” 权限账号。

凌晨 0:50，服务器上的所有聊天记录、链接列表……所有数据库挨个消失。

当被黑的站长试图查看系统日志，找出黑客利用的漏洞和攻击手段，发现黑客早在删库跑路之前，就把系统日志给改写得稀巴烂。

尽管如此，他怀疑黑客利用一个PHP 远程命令执行漏洞绕过了一些安全限制，因为这个漏洞刚好就在黑客入侵的前一天才被公开（一般这类漏洞被称之为 0day漏洞），被黑掉的服务器主机正好落在这个漏洞的“射程范围”之内。

由于数据没备份，所以被删除的所有数据都无法恢复，它们将永远消失在这个世界……

为了今后防止重蹈覆辙，托管商 Daniel 决定公布了一部分和此次遭遇入侵相关的代码在 Github 上，供所有人审查安全问题。

究竟是谁干的？是某个正义的黑客组织？还是执法部门？或者……是托管商的竞争对手？

到现在也没人知道，或许它将成为一个永远的秘密。

尽管如此，这次黑客行动显然还是有意义的。

就像之前每一次打击那样，无论是黑客还是执法部门，每次打击过后，暗网网站数量和活跃用户数都会下降。因为它让肆无忌惮的人开始心虚，开始没有安全感。

一次次打击暗网的黑客行动，不断警示着他们：“哪有什么法外之地，即便在光亮照不进的地方，也有黑客收拾你。”