济南计算机犯罪律师张洪强办案经验总结：黑客入侵类案件的办案技巧

张洪强律师《黑客入侵类计算机犯罪案件无罪攻略》

本文作者： 张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，北京京师律所全国刑委会华东区副主任，专注于计算机犯罪研究，深入研究黑客类计算机犯罪十多年，对黑客非法入侵网站、修改删除信息、植入广告链接、木马病毒、后门程序非法侵入控制计算机犯罪案件有系统的研究和总结，对黑客个人、漏洞挖掘者、黑客工具开发者（木马、外挂、远控、爬虫、撞库工具）涉嫌入侵、控制、破坏计算机案件具有丰富的办案经验和技巧，善于维护黑客个人、漏洞挖掘者、黑客工具开发者的合法权益。

很多黑客被抓后都很疑惑，明明自己在入侵或攻击时使用了跳板VPN、肉鸡等方法隐藏自己的真实IP、清除系统日志、删除上传的工具、隐藏后门文件、擦除入侵过程中所产生的痕迹等，为什么还会被抓获，这里面涉及的就是追踪与溯源反制、电子证据的收集、保存以及分析和关联的一些问题。

无论是警察破案还是法院定罪，都是基于证据，如果我们想争取到无罪和最轻的处罚，同样要靠分析证据，只有定罪的证据不成立、切断指控犯罪的证据链，才有可能争取到不批捕、不公诉、罪名不成立和最轻的处罚。

张洪强律师总结：黑客入侵类犯罪案件定罪的五个关键环节：

张洪强律师将黑客非法侵入案件定罪的过程分为五个环节，这五个环节，任何一个环节出现问题，或者五个环节的证据不能相互印证，都有可能导致罪名不成立。我们律师在办理此类黑客类案件时，主要从这五个方面审查，是否存在没有证据或取证程序不合法、或不能形成证据链等问题。

定罪的五个关键环节：

1、警方从被害人电脑或者网站服务器提取相关日志证据。

2、做“痕迹分析”与入侵路径溯源，找到ip信息或其他标志信息。

3、根据ip信息或其他标志信息做出作案者画像，抓到犯罪嫌疑人。

4、扣押相关电子设备取证。

5、突破口供。

下面，张洪强律师就根据自己的经验和总结，介绍一下，黑客入侵类计算机犯罪如何争取无罪罪轻处罚。

一、从入侵时间、入侵方式、入侵路径的证据上找到他人作案的可能性，从而排除被告人的嫌疑。

有些网站因为存在漏洞，可能存在被多名黑客入侵的情况，我们在办理案件时要防止因为办案机关疏忽，将其他黑客的侵入行为算到我方身上的可能。如果在入侵时间、入侵方式、入侵路径上存在其他黑客入侵的可能性，则说明不能排除他人入侵可能性，在其他证据不足的情况下，不能简单的将被告人认定为入侵者。

例如一起虚拟货币网络盗窃案，警方起诉意见书认定实施盗窃的时间是2019年10月22日，但是犯罪嫌疑人对该服务器进行入侵的时间是2019年9月25日，中间间隔了近一个月，并且被盗公司的服务器后台日志显示，在2019年10月16日，有一个美国的IP地址异常访问了该公司网站的最高权限，2019年10月23日，有一个香港的IP地址异常访问了该公司网站的最高权限。该案无法排除其他黑客入侵的可能性，最终检察院认为事实不清、证据不足，对犯罪嫌疑人不起诉撤案。

我们律师在办理案件时，可以从以下几个方面来审查是否存在别人入侵的可能性。

①被害人陈述的入侵时间、入侵方式、入侵路径与犯罪嫌疑人供述的入侵攻击时间是否一致。

②审查被入侵系统与作案设备上各种日志记录在时间、日期上是否存在一致性。

③审查入侵时间与入侵后果产生之前是否存在他人侵入或攻击的行为。

④审查犯罪嫌疑人供述的入侵方式、入侵路径是否与侦查机关查明的一致。不同的黑客有不同的入侵思路，入侵路径也多不相同。在某起侵入大学教务系统案件中，警方查明的入侵方式是Mysql入侵，而犯罪嫌疑人供述，其利用sshd服务入侵，通过mysql日志分析，并没有发现有写入webshell的操作，ssh日志被删除了，也无法完全认定是ssh入侵的，导致入侵方式、入侵路径无法吻合。

二、争取直接证据不成立。

直接证据指：IP地址、域名、用户名、计算机名称、虚拟身份、入侵工具、木马信息等与犯罪嫌疑人（被告人）产生一致性或关联性。

1、服务器日志、网站日志记录中提取到的相关痕迹与被告人之间不具有一致性或关联性。

①服务器日志中，非正常用户登录服务器的用户名、客户端名、客户端IP地址与被告人是否存在一致或相关联。例如某黑客入侵案，客户端名称为被告人的生日。

②安全日志、FTP日志和www日志等日志记录是否被清除，是否能提取到入侵者的IP地址、入侵时间、端口、http状态、浏览器等。

③律师要注意:证据链中断的情形。一旦证据链中断，就不会形成相关直接证据。

A.稍微有些经验的黑客入侵者会删除相关日志记录，很多案件不会从日志中提取到入侵者的ip等信息。一旦入侵者获得了系统 root 权限, 就可以轻易地修改、删除操作系统所保存的日志记录, 甚至伪造现场, 从而掩盖入侵留下的痕迹。

B.日志中发现的入侵IP，可能是跳板肉鸡，不一定是入侵者的真实IP。

2、工具软件中的信息与被告人是否一致或产生关联。

①警方是否提取到黑客使用过或留下的工具软件，如入侵、扫描、嗅探、攻击工具软件。

②这些工具软件中是否提取到入侵者的个人虚拟身份信息，如Q+Q号码、电子邮箱、木马收信地址等是否与被告人产生一致性或关联。

③要注意：有经验的入侵者在入侵过程或成功后，会将相关工具软件删除；对于黑客删除的工具软件，要注意警方数据恢复的程序是否合法以及是否存在瑕疵的问题。

3、木马程序中提取的相关痕迹证据是否与被告人产生一致性或关联性。

网络入侵常常伴随着植入木马行为，木马制作者为了使木马通过杀毒软件的检测，增加代码阅读难度，经常会对木马程序代码进行代码混淆、加密、压缩等处理，要想通过木马溯源找到入侵者，难度极大。我们在办理案件时要注意：

①是否通过网站源文件与服务器日志找到可疑木马文件。

②使用木马的ip地址、虚拟身份等信息是否与被告人一致或产生关联性。有些木马文件在上传时会修改其日期属性，其日期属性可能是篡改后的，需考虑此情况。

③木马程序中的一些信息是否与被告人产生关联。

④根据使用木马的时间是否找到被创建的文件夹、被修改的网页文件等，从被创建的文件夹、被修改的网页文件中是否能发现线索，例如从被修改的网页文件中发现被插入的外挂网站。

4、入侵者留下的其他痕迹与被告人产生一致性或关联性。例如网络通信数据、最近使用过的文件、预读文件、回收站中的痕迹。

三、审查定罪的三条证据链，如果证据链不闭环，则达不到定罪条件。

1、审查“端-端”的证据链。即“入侵端→被入侵端”的证据链。

公安机关在侦查此类案件时，首先从报案人电脑、网站、服务器上提取相关电子证据，包括：服务器日志、网站日志、用户文件、最近访问记录、浏览器记录、删除数据恢复、可疑木马文件等，主要依据电子形成的痕迹、物证，采取各种计算机技术追溯到作案的计算机，这是破案的关键一步。

我们律师在办理案件时，从以下三个方面努力，审查由“入侵端→被入侵端”的证据链。

（1）律师在办理案件时，要注意电子证据的提取过程、程序是否合法，要掌握电子证据的收集、保存专业知识。

（2）律师在办理案件时要掌握常见的一些追踪与溯源反制的思路、局限性以及技巧。

入侵溯源强烈依赖人力和经验，根据某一入侵痕迹往下找，一旦出现卡点和痕迹消失，则不能完整证明证据链逻辑。

我们律师在办理案件时，要从溯源中涉及的取证元素来审查溯源逻辑的完整性。通过对入侵行为时间线分析、攻击行为分析、用户权限分析、攻击源分析来审查溯源证据链逻辑的完整性。

（3）对作案机与被入侵机做关联性分析。

办案机关扣押到犯罪嫌疑人的电脑手机等电子设备后，会对这些电子设备提取大量电子数据作为证据，我们律师在办理案件时，要注意对入侵机与被入侵服务器中的数据、可执行程序、webshell等做关联性分析，是否提取攻击计算机与被攻击计算机之间相关联的部分。

①被扣押的犯罪嫌疑人的作案设备上是否有被入侵、被攻击网站的浏览访问记录，IP 地址、访问时间、访问行为是否与被害方提取的电子证据相互印证。

②审查被入侵系统与作案设备上各种日志记录在时间、日期、来源、目的甚至协议上是否存在一致性。

③对入侵机上的后门脚本、木马程序等与被入侵服务器上的后门脚本、木马程序的同一性进行分析，MD5是否完全一致。 是否搭建该工具的网络环境，通过运行该工具是否找到入侵日志，与被入侵网站被入侵留下的日志记录是否相同

2、审查由“人-人”证据链。

黑客入侵攻击活动已形成了由黑客教学、制作销售黑客工具、实施攻击、盗窃倒卖用户信息及虚拟财产、提供交易平台销赃洗钱等各个环节分工合作的多元化、产业化的黑色链条。

在黑色产业链中，存在犯罪主观证明较难，共犯联系松散难以认定的特点，这些人一般都互不认识，只是网友，互相之间连真实名字都不知道。网络犯罪中行为人之间意思联络形式多样化、联络主体虚拟化、共同行为模糊化，有时候要形成指向某一犯罪嫌疑人的证据链是有难度的，在很多案件中，公安机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，这就是我所说的网络犯罪中“由人到人”证据指向。

我们律师在处理案件时要审查证据中的同案犯的供述、聊天记录、转款记录、通话记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

3、切断由“财-人”证据链，即资金流转的证据链。

网络入侵案件，行为人在计算机系统上留下的相关痕迹是最直接的证据，但是，由于黑客都知道销毁或隐藏入侵和嗅探的痕迹来掩盖自己，在很多案件中经常存在直接证据缺失的情况。

在直接证据缺失的情况下，警方会通过利益链条来追踪作案人，通过筛查资金去向，根据资金的转移路径、使用情况，对多次流转的涉案资金进行追踪，以及搜集相关证人证言等间接证据进行侦查取证，如果能形成完整的证据链，也能够达到指控行为人实施了相关网络犯罪的证明标准。例如黄某利用木马程序网络盗窃案，涉案虚拟财产价值2000多万元，由于黄某在完成犯罪行为后将其入侵的相关数据删除，被害公司为堵住系统漏洞而将服务器重做，没有保存系统日志，无法提供服务器被入侵记录，导致证实黄某侵入系统盗窃财物的直接证据缺失。该案，警方通过资金链证据破案，最终黄某被认定为罪名成立。

我们律师要注意一些反侦查手段的实施，例如使用黑卡、地下钱庄、跑分平台、虚拟货币OTC场外交易、暗网、混币等手段，导致的证据链中断无法追溯的情况，随着反侦查能力的提高，查清资金流转路径、流转金额难度越来越大。某起虚拟币网络盗窃案，警方在被入侵服务器上提取到犯罪嫌疑人对该服务器有xss攻击记录，便将犯罪嫌疑人抓获，但因最终没有发现虚拟币的流转证据以及变现证据，将犯罪嫌疑人释放撤案。

本文为张洪强律师办案经验总结，张洪强律师依托北京京师律所全国大平台刑辩资源，深耕计算机网络犯罪十多年，对破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪具有深入研究和总结。张洪强律师熟悉黑客技术原理和电子数据取证，对黑客入侵、网络盗窃、漏洞利用、权限提升、木马病毒、黑客ddos流量攻击、抓包撞库/木马盗号等计算机网络犯罪案件有深入研究总结，著作《流氓软件恶意程序类计算机犯罪无罪攻略》、《黑客入侵类计算机犯罪无罪攻略》、《网络攻击类计算机犯罪无罪攻略》《域名劫持流量劫持类计算机犯罪无罪攻略》《木马病毒类计算机犯罪无罪攻略》《爬虫类计算机犯罪无罪攻略》等，为办理计算机犯罪案件提供有效的指导。