为什么黑客到哪里都有网络

去年在郑州一个老厂房改造的咖啡馆里，我亲眼看着隔壁桌的黑客哥们儿用一部碎屏的安卓机连上了Wi-Fi。他没问密码，到里都也没蹭店员的为什网络热点——手机连的是他自己架在背包里的微型基站。那玩意儿比充电宝还小，黑客发出一个和“CMCC”一模一样的到里都SSID，周围十几米内所有自动连接中国移动Wi-Fi的为什网络设备，全往他那儿跑。黑客我当时的到里都第一反应不是害怕，是为什网络好奇：这人到底怎么做到的？

答案其实不复杂，但大多数人没往那个方向想。黑客我们总觉得“网络”是到里都运营商铺好的高速公路，黑客是为什网络偷偷上去飙车的。可现实是黑客，黑客根本不走那条路。到里都他们自己修路。

先看一个最日常的场景。你到了酒店，打开笔记本，搜到一个叫“Hotel_Guest”的热点，点一下，弹出一个网页让你输房间号和姓氏。你输了，能上网了。一切正常。但如果你稍微留意一下那个认证页面的URL——它可能长得像http://10.10.1.1/login，而不是https://portal.xxxx.com。这就是个信号。黑客会直接克隆这个页面，放在自己的设备上，然后广播一个更强的同名信号。你的设备一看信号更强，自动切过去，认证页面长得一模一样，你输完信息，黑客拿到了，再把你放行到真正的网络。整个过程你只觉得“网速好像快了点”。

这还只是被动的。更主动的做法是直接伪造基站。2G时代，GSM协议有个致命缺陷：网络不验证手机的身份，手机也不验证网络的身份。黑客拿一台USRP（软件无线电设备）或者更便宜的BladeRF，就能模拟一个中国移动的基站。你的手机只要在附近，就会乖乖连上去。连上去之后，短信、通话、数据，全部明文经过黑客的设备。2019年DEF CON上有人演示过，成本不到两千块人民币。现在4G、5G好了很多，但降级攻击依然有效——黑客先假装成2G基站，你的手机一看2G信号强，降下去，然后就没有然后了。

你可能会问：那我用VPN不就行了？VPN确实能加密你到VPN服务器之间的流量。但黑客根本不需要看你的流量内容。他只需要知道你在连VPN，然后直接阻断你的VPN连接。或者更简单：他伪造一个假的VPN服务器，你的VPN客户端连上去，握手，然后他告诉你“认证失败”，让你重输密码。你输一次，他拿一次。反复几次，你自己就放弃了。这招在机场贵宾厅特别好使，因为那里的人往往愿意为了“稳定”多试几次。

还有一个被严重低估的渠道：蓝牙和NFC。很多人不知道，蓝牙协议栈在配对过程中有个叫“Just Works”的模式，不需要确认码。黑客在人群密集的地方（比如地铁车厢）用一根天线扫，就能抓到大量设备的蓝牙MAC地址。有了MAC地址，再配合一个叫bettercap的工具，就能发起中间人攻击。你的手机以为在跟耳机说话，其实是在跟黑客的树莓派说话。NFC更直接——你手机贴着刷卡机“滴”一下，黑客在附近用另一台设备就能截获那个射频信号。虽然距离短，但在排队买咖啡的时候，你根本不会注意身后的人。

我见过最绝的一个案例，是在一个安全会议上。演讲者拿出一台看起来完全正常的USB充电器，插在墙上。然后他让观众连他的Wi-Fi。观众连上后，他打开投影，屏幕上实时显示每一个观众手机里正在后台请求的域名——google.com、apple.com、wechat.com，还有几个明显是成人网站的。全场笑了。但演讲者说了一句让我记到现在的话：“你们以为连的是我的Wi-Fi，其实是我的Wi-Fi连了你们。”

所以回到标题那个问题。黑客到哪里都有网络，不是因为他们的设备更高级，而是因为他们对“网络”的定义跟普通人不一样。普通人眼里的网络是“能上微信、能刷抖音”，黑客眼里的网络是“我能控制数据包往哪走”。只要他能控制数据包，他就不需要运营商。他自己就是运营商。

你可能会觉得这离你很远。但下次你在商场连上一个没有密码的“Free_WiFi”，打开网页跳出一个让你输手机号收验证码的页面时，不妨多想一秒：这个页面，到底是商场放的，还是旁边那个背着双肩包、正在喝咖啡的人放的？

——写于一个用了三年还没换的旧路由器旁边，它至今还在广播一个叫“TP-LINK_5G”的信号，而我知道，那个信号可能根本连不到互联网。