第三百二十四章 根账号

第三百二十四章 根账号 (第1/2页)

炜杰的飞机在首都机场落地时，北京正在下雪。
　　
　　舷窗外的跑道被白雪覆盖，探照灯的光束里飘着密集的雪花。炜杰解开安全带，从行李舱取下双肩包，第一个走出舱门。他没有等摆渡车，踩着积雪快步走向到达大厅。
　　
　　何明在出口等他，手里举着一块写着"接人"的纸牌——他没有写名字，怕被人认出来。
　　
　　"日志查了吗？"炜杰第一句话就问。
　　
　　"查了。"何明的脸色发白，"情况比短信说的严重。"
　　
　　"路上说。"
　　
　　两个人钻进一辆出租车，何明报出千度办公室的地址。司机是个老北京，从后视镜里打量了他们一眼，没说话，打开了收音机。电台里正在放一首九十年代的老歌，女歌手的声音沙哑而绵长。
　　
　　何明从包里掏出一个笔记本，翻开第一页："按照短信提示，我查了千度服务器从九六年一月到九七年十二月的全部访问日志。二月份第一个星期二，凌晨两点——这个时间段出现了十七次异常登录。"
　　
　　"异常在哪里？"
　　
　　"登录账号不是普通用户，是一个系统级账号。"何明的声音压得极低，像怕司机听见，"账号名：根。"
　　
　　炜杰的瞳孔收缩了一下。
　　
　　"根账号？"
　　
　　"根账号。服务器上的最高权限账号，可以读取任何文件，修改任何配置，删除任何数据。"何明咽了口唾沫，"但这个账号不是千度创建的。千度的服务器是九七年年底才架设的，而这个根账号的首次登录时间，是九六年二月六日，凌晨两点零七分。"
　　
　　"九六年？"炜杰的声音发紧，"那时候千度还不存在。"
　　
　　"对。"何明说，"所以我查了那台服务器的购买记录。九六年一月，千度还没有成立，但李彦强以个人名义从中关村的一家经销商手里买了一台二手服务器。那台机器后来被用作千度最早的开发环境。"
　　
　　"经销商是谁？"
　　
　　何明从笔记本里抽出一张复印的收据，上面盖着红色的公章："深圳华南电子器材有限公司，北京分公司。"
　　
　　华南。
　　
　　炜杰盯着那个公章，手指收紧。华南信托，华南电子。同一个"华南"，同一个赵明远。
　　
　　"赵明远在千度成立之前，就在那台二手服务器里预置了一个根账号。"炜杰说。这不是问句，是结论。
　　
　　"更可怕的是后续。"何明翻到笔记本的第二页，"这个根账号从九六年二月到九八年十二月，累计登录了一百八十四次。平均每个月七次，像时钟一样规律。最后一次登录，是九八年十二月三十一日，晚上十一点五十七分。"
　　
　　"王志远离职那天？"
　　
　　"前后相差不到四十八小时。"何明说，"也就是说，赵明远在王志远离职前，最后一次通过根账号访问了千度的服务器。然后他做了两件事：第一，用王志远当幌子，在代码里埋下三层礼物。第二，把这个根账号的登录痕迹部分清除，但没有清除干净。"
　　
　　"为什么不清除干净？"
　　
　　"因为他以为我们查不到。"何明说，"根账号的登录日志存储在系统内核层，不是普通管理员能看到的。他以为王志远的代码炸弹会吸引我们全部注意力，让我们只顾着拆弹，忘了检查地基。"
　　
　　出租车在中关村大街停下，两个人推开车门，冷风夹着雪片扑面而来。
　　
　　千度办公室，下午三点。
　　
　　何明把追查结果向核心团队做了完整汇报。刘芳、小陈、老周、李彦强围坐在会议桌旁，每个人的脸色都很难看。
　　
　　"根账号现在还在吗？"李彦强问。
　　
　　"账号本身已经被禁用。"何明说，"但禁用的原因不是我们发现了他，是赵明远自己关掉的。九八年十二月三十一日那次登录后，他执行了一条账号禁用命令，然后删除了自己的登录密码。"
　　
　　"他为什么关掉？"
　　
　　"因为他知道王志远要离职，知道王志远会在代码里埋炸弹，知道我们会全面审计系统。"何明说，"他关掉根账号，是为了避免在审计中被发现。但他没想到，日志记录是双份的——系统内核有一份，操作层有一份。他只清除了操作层的记录，内核层的记录还在。"
　　
　　"他能通过根账号看到什么？"刘芳问。
　　
　　"一切。"何明打开投影仪，屏幕上显示出千度服务器的架构图，"如果他在九八年十二月之前持续访问，他能看到千度的全部源代码、全部用户数据、全部搜索日志、全部财务记录。他知道我们有多少用户，知道我们的技术路线，知道我们的投资人是谁，知道我们每一个员工的工资。"
　　
　　会议室里安静了很长时间。
　　
　　"三年了。"小陈的声音发颤，"他偷看了我们三年。"
　　
　　"不是偷看。"炜杰说，"是蹲守。他在我们的地基里蹲了三年，看着我们一砖一瓦地盖房子。"
　　
　　李彦强一拳砸在桌上，茶杯跳起来，茶水洒了一桌："我去报警。"
　　
　　"报警没有用。"炜杰说，"根账号是九六年创建的，那时候千度还没有成立，那台服务器是李彦强个人买的。法律上，赵明远可以说那是他自己买的机器，自己留的维护账号。"
　　
　　"那怎么办？"
　　
　　"两件事。"炜杰说，"第一，何明，你把内核层的日志全部备份，刻成光盘，锁进保险柜。这是证据，现在不用，将来有一天会用。第二，全面更换所有服务器的根账号密码，重新生成密钥对，确保赵明远即使保留了旧密码，也无法再登录。"
　　
　　"已经做了。"何明说，"上午你们在香港的时候，我已经把全部十二台服务器的根账号密码换掉了，旧的密钥对全部作废。"
　　
　　炜杰点头："还有第三件事——检查所有对外的网络接口，看有没有他留下的监听端口或者数据转发规则。"
　　
　　"正在查。"何明说，"预计二十四小时内出结果。"
　　
　　晚上七点，坏消息和好消息同时到来。
　　
　　坏消息是何明发现的：在千度的一台边缘缓存服务器上，找到了一个隐藏的端口转发规则。规则创建时间是九八年十一月，也就是王志远离职前一个月。这个规则把经过缓存服务器的部分搜索请求，偷偷复制并转发到一个外部地址。外部地址的归属地——深圳南山软件园。
　　
　　

（本章未完，请点击下一页继续阅读）