用“傀儡机”攻击服务器 

　　犯罪嫌疑人向某是个20岁的无业青年，虽然只有初中文化，但精通电脑技能。2010年，他通过运行黑客软件非法侵入并远程操控55台他人计算机作为“傀儡机”，并利用“傀儡机”连续恶意对某知名游戏的服务器发动分布式拒绝服务攻击(以下简称“DDOS攻击”)，通过对该游戏服务器IP发送大量“icmP”或“syn”数据包，造成服务器网络带宽被大量占用，进而堵塞网络通讯，最终导致被攻击的服务器网络中断、玩家掉线。同时，向某还注册域名为“萧氏网络”的黑客网站，并在网页上发布“出售傀儡机”“DDOS攻击”“黑客培训”等信息，公开收费攻击该游戏的服务器。 

　　“我去‘炸房间’觉得这样非常光荣，想满足自己的虚荣心。”检察官讯问向某的犯罪动机时，得到是这样的回答。原来，该游戏的玩家均以登录主页面左上角第一个房间（即100号房间）为荣，所以有人利用“DDOS攻击”来击溃该游戏的服务器，致使网络中断、玩家掉线（俗称“炸房间”），然后争着登录第一个房间。向某为得到其他所谓“骨灰”级玩家的羡慕、崇拜，并为了在网络世界里炫耀苦学的“炸房间”技术，单独或伙同他人多次实施对该游戏服务器的“DDOS攻击”。 

　　技术专家锁定电子证据 

　　2010年11月，徐汇区检察院在审查起诉此案时，发现侦查机关虽然将向某移送起诉，但查获的向某电脑内能证明他犯罪的大量数据都已被删改，检察官在证据问题上遭遇了种种难题。 

　　向某自恃擅长网络游戏、熟悉电脑知识和各种黑客软件的应用、深谙作案的细节，对犯罪行为避重就轻，拒不供述真实的作案过程。由于难以读取涉案赃物硬盘中的数据，致使这起案件达不到提起公诉的证据标准，案子被搁置下来。 

　　能否用技术手段恢复电子资料？技术科陆渊等人分析后认为，关键是要解决涉案硬盘的数据复原问题。经过专业取证、数据分析，他们锁定了案件的几个关键技术难题，如涉案硬盘中关于木马后门程式控制的“傀儡机”IP地址和相关“DDOS攻击”程式，以及硬盘中犯罪嫌疑人建立黑客网站、黑客培训教程的内容。 

　　随后，徐汇区检察院技术科提出请求，市检察院协调组织了虹口、黄浦两区检察院技术科会诊，最终把证据固定下来。 

　　去年5月法庭审理此案时，公诉人凭借电子证据辅证，使所有证据形成了一个完整的证据链。面对强有力的证据，向某不得不低下了头。 

　　是“非法控制”还是“破坏” 

　　证据锁定了，但在对向某构成“非法控制计算机信息系统罪”还是“非法破坏计算机信息系统罪”上，徐汇区检察院内部分歧明显。由于向某坚称55台“傀儡机”中有部分是与他人共享、有部分存在被其他黑客重新控制的可能，本案公诉人、徐汇区检察院公诉科胡卓英认为向某的辩解存在一定的合理性，因为现有的技术手段是无法排除这种可能性的，这也是这类案件在证据上的天然缺陷。最后，徐汇区检察院检委会得出结论：现有证据无法证实目标计算机系统所遭受的55个IP地址攻击共计731小时均由向某实施，但根据在向某电脑硬盘上获取的55个IP地址能够证实向某确实曾通过非法控制55台计算机信息系统向目标计算机信息系统发动过攻击。因此，由于取证上的障碍，认定为“非法控制计算机信息系统罪”的证据相对更确实、充分。 

　　最终，法院支持了检方的指控，对向某作出8个月有期徒刑的判决。 

　　电子证据应用更加广泛 

　　现在人们的生活、工作方式有了巨大的变化，电脑里存放着大量的个人隐私数据信息。这些很少受客观因素影响、不易损毁、有极强证明力的信息，也是证明犯罪行为的有力证据，陆渊把这称为“不会说谎的证据”。 

　　陆渊告诉记者，新修改的刑事诉讼法第四十八条明确将电子证据作为刑事证据的种类之一，业务部门越来越接受这种“不会说谎的证据”，工作量较之以往明显增加。陆渊说，他们2010年完成电子证据检验3件，到2011年则上升至8件。去年12月，徐汇区检察院技术科同样受理了该院反贪局委托的一起电子证据检验案件。犯罪嫌疑人涉嫌在招生过程中利用职务便利收受他人贿赂，鉴于案情及侦查证据要求，需要提取涉案的3部移动电话机所附的3张SIM卡的短信内容和通话记录。该院技术科在第一时间内解决了固定证据难题，保证了案件的顺利侦查。 

　　通讯员 孙爽 本报记者 袁玮