二手電腦
最近，我想買臺新電腦，就是那種低端筆記本，可以應付一些輕量級的工作，HP Stream似乎是個不錯的選擇。而且讓我驚喜的是，如果買二手返修電腦，百思買(Best Buy，全球最大家用電器和電子產品零售集團)會給我20%的折扣。銷售保證說電腦跟新的沒什么兩樣，而且他們會延長所有的質保期。成交!
每到手一件新寶貝，我總是抑制不住內心的小小激動。電腦就像從未被觸摸過，而且所有的文件都封存在袋子里。箱子里甚至有一張紙條寫著清理及這名這臺機器的技術人員ID。
所以，當我啟動電腦看到別人的名字跟Hotmail地址出現在登錄彈窗時，我真正理解了銷售說的“跟新的沒什么兩樣”是什么意思!
當我凝視著之前電腦的主人——David的全名跟電子郵件地址時，我陷入了深思。我繞過系統驗證能訪問這臺電腦嗎?因為這畢竟是我的東西了……另外，我又能通過這臺電腦獲得David的多少信息?
當回黑客
我接觸電腦的時間很久了，但我并非一名安全專家。
許多人會使用常見的名字、日期及地點作為密碼，所以我行動的第一步就是對David了解得多一點。我知道他的姓跟名，他在郵件地址中使用了中間名，而且我猜測他住在本地的某處。我搜索之后返回一個可能的地址。我打算拜訪一下他，但我臨陣退縮了。說實話，我不知道這樣下去何時是個頭。
鎖定滿足常見Windows Live賬戶最低要求的密碼清單并沒花多長時間。不過不久我也意識到鎖定那個精確的密碼并非易事。幸運的是，Windows給了我輸入20次與郵件地址有關聯的密碼機會。不過話說回來，雖然我不介意做這些沉悶復雜的事兒，但我寧愿計算機代勞。
我需要自動化，也就是說我得找到正確的工具。于是我在Google在搜了一下“我忘記Windows 8的密碼了”的問題，它返回數百萬條結果，不過第二條就是我所需要的結果。讓人驚訝的是，這個工具在過去15年以來竟然沒有發生任何變化!而且從某種程度來說這個過程更加簡單容易。(太棒了!)
15年前，我可能得從電腦中把硬盤驅動器拉出來，擺弄好然后重新放入另一個地方。然后我就能瀏覽文件并且嘗試破解密碼。10年前，我不得不把硬盤驅動器放到一個USB盤里。而今天，我所需要的不過是Linux的閃存盤。
一頓繞道BIOS并修改好啟動順序后，一切準備就緒。
很快我就能瀏覽電腦上所有的文件了。電腦上沒有圖片、歌曲或文檔。我猜David并沒怎么用這臺電腦，可能就設置了一下自己的賬戶，也有可能他很聰明地刪除了所有的東西。我有點失望，但我也有兩把刷子。我拷貝了幾份系統文件，尤其是那些存儲了加密密碼的文件。
如今加密技術較之前提高了不少，但它依然有缺陷——人本身的弱點。如果David的密碼保密程度不夠高，那么密碼已經被破解并放入彩虹表了。這些彩虹表是巨大的密碼列表，并且其中也包含加密后的密碼格式。我可以查看David的加密密碼從而獲取明文密碼。
整個事情聽起來有點邪惡，但我并沒有到一些秘密網站找到這些信息。我從SourceForge上下載了一個程序并將其安裝在一個USB驅動器上，并在電腦上運行。28秒后，密碼返回。
這就是事情最后的結果。最新的Windows操作系統只需網絡搜索加上一些開源軟件就被攻陷了。整個過程就用了幾個小時。我能夠想象到一名有經驗的黑客破解的速度有多快。而且，我并沒有修改電腦硬盤的任何東西。Windows的默認安全性能多年來也提高不少，但對其虎視眈眈的工具也在與時俱進。有一些設置可以防止此類攻擊的發生，但這些設置并非默認設置。
變身David
我以David的身份登入電腦，而且就像我所期望的方式——默認登錄。我已經查看了所有的文件，我知道沒發現什么結果。
我所不知道的是，我能夠在網上找到什么。David的密碼不僅讓我登錄電腦，而且我還得到了他的Hotmail跟Windows Live密碼。我現在就能以David的身份登入電腦，而且整個世界都還以為我真的是David呢。
我掙扎了一下，想著要不要再做進一步的搜索并登入網站。但我不想再侵犯David的隱私了，盡管我也沒有怎么侵犯。到目前為止，我已經能夠訪問一臺本應該被清理干凈并“跟新的沒什么兩樣”的電腦前機主的數據。不過上網的事兒，還差得很遠。
例如，如果他之前登錄過社交媒體網站，惡意黑客可能會做出一些讓他尷尬的事情，或者實施社工行為。想象一下 ，如果他已經登錄Amazon或者銀行賬戶，會產生什么樣的經濟損失。這些黑客可能已經訪問了David的Windows Live賬戶、購買歷史、Xbox Live 賬戶、OneDrive以及其他微軟服務。而且，不要忘記，他們可能已經查看了他的瀏覽歷史并訪問了所有將密碼存儲在瀏覽器中的網站。
我確實犯了一個錯誤。這是我第一次使用帶有觸摸屏的Windows 8，而且我不小心登錄了Mail app，它讓我自動登陸了David的Outlook郵箱。這是準盜賊的發財機會啊，如果盜賊有能力搜索David的這個賬戶用于哪些網站的話。多數人會多次使用用一個密碼，所以它給了盜賊一個絕佳機會。而且，如果密碼不管用，黑客也可以通過網站的忘記密碼鏈接然后從郵箱中獲取——對，就是通過這個Outlook電子郵件。
盜賊可能會立即修改David的電子郵件密碼。David很幸運，因為我不是小偷，所以我馬上退出APP并且默默地向David道歉。
百思買原來什么都知道……
我不能再往前走了。我已經為寫這篇文章掌握了足夠的素材，是時候向前看了。我把所有的東西都打包好并退給百思買。我能做的就是告訴百思買這個錯誤，并且希望不要重演。
我收拾好文件時，我看了一眼監督這臺設備的技術員工ID。我想知道他是誰，這樣好報告給經理。
這個ID看起來有點眼熟。等等，這不就是David的密碼嗎?!這張字條一直躺在箱子里。他們不僅賣給了我一臺里面還有其他人數據的電腦，而且還給了我密碼!這根本不需要入侵啊。
我雖然無意成為世界上最壞的黑帽黑客，但當我發現這張字條時，我的自尊還是受了不小的打擊。我原本應該首次嘗試輸入這個密碼啊!
我的這種尷尬馬上變成憤怒。是的，有可能出現錯誤，但這種錯誤也太大了。密碼很顯然是打在百思買的收據上的，所以肯定也是在商店寫的。他們為什么需要電腦密碼重置David的密碼?如果他們會把電腦返回給David，我能理解，可是他們是在做恢復原廠設置啊!他們怎么能把密碼跟設備放在一起而且就重新銷售呢?
我把一切都打包好并且開車奔向百思買。我馬上要求跟經理談話。他人很好，幾次道歉并且表示這是一個嚴重失誤。他記下了收據中的一些信息并且解釋稱他會查實這件事的來龍去脈。他懷疑這臺電腦從未交給Geek Squad進行重置。我不知道這到底在他們的流程中是什么意思，但這確實是嚴重的紕漏。
經理要求把電腦交給他們清理，但是我告訴他們我很急并且我也知道怎么清理——這一點都不難。他讓我把電腦打包好并且拿回了家。這太讓我吃驚了。這臺電腦我已經用了一周了，所以他就認為會產生各種損壞嗎?或者我長得很讓人放心?
我回到家馬上恢復了原廠設置。整個過程無需知道David的密碼，而且完成只需20分鐘左右。我還給David寫一份電子郵件告訴他事情的來龍去脈，不過還沒收到他的回信。
最后，我不知道David是否應該因為我買到這臺電腦而感到幸運。雖然我并沒有惡意入侵，但我確實做了一些探索。我認為多數人都會把電腦拿回去，而且百思買應該已經進行了恢復原廠設置，而且沒有人會知道其中的差別。
我在想這種事情到底發生了多少次。對于我而言，我會擱置當黑帽黑客的想法。而且，我更會好好保護我的個人數據。
京公網安備 11010502049343號