浙江省杭州市余杭区人民法院刑 事 判 决 书（2018）浙0110刑初181号公诉机关浙江省杭州市余杭区人民检察院。被告人王建云，男，1993年3月25日生，汉族，初中文化程度，无业，住云南省丽江市永胜县。因本案于2017年5月10日被刑事拘留，同年6月16日被依法逮捕。现押于杭州市余杭区看守所。辩护人吕梦娜（杭州市余杭区法律援助中心指派），浙江瑞坤律师事务所律师。杭州市余杭区人民检察院以杭余检公诉刑诉[2018]182号起诉书指控被告人王建云犯破坏计算机信息系统罪，于2018年2月22日向本院提起公诉。本院依法适用普通程序，公开开庭审理了本案。杭州市余杭区人民检察院指派检察员李剑出庭支持公诉。被告人王建云及其辩护人吕梦娜到庭参加诉讼。现已审理终结。杭州市余杭区人民检察院指控：2017年4月5日4时许、4月6日3时许，被告人王建云两次使用从刘某（另案处理）处购买的安装在自己的手机中的黑客工具“Sbooter”，攻击浙江寻艺网络科技有限公司“贝贝直播”平台服务器，导致“贝贝直播”平台服务器在2017年4月5日3时29分25秒至3时59分26秒、4时13分38秒至4时43分39秒，4月6日2时55分44秒至3时25分47秒，三个时间段内不能正常运行，“贝贝直播”平台用户无法登陆、消费，共计时间为1.5个小时。被告人王建云实施攻击时，“贝贝直播”平台用户数为49万余人。据以指控的证据有物证；书证；证人证言；同案人员的供述和辩解；勘验笔录；电子数据；光盘；被告人的供述和辩解等。公诉机关认为，被告人王建云的行为已构成破坏计算机信息系统罪，提请本院依照《中华人民共和国刑法》第二百八十六条第一款之规定惩处。被告人王建云辩称其对“贝贝直播”进行攻击时，“贝贝直播”平台在线用户数不超过20人，且其对“贝贝直播”平台服务器仅攻击了400秒。辩护人提出，被告人王建云实施攻击时，“贝贝直播”上线人数仅为5000余人，且归案后如实供述罪行，认罪、悔罪态度好，又系初犯、偶犯，请求对被告人王建云从轻处罚。经审理查明：被告人王建云为获取浙江寻艺网络科技有限公司“贝贝直播”平台靓号等VIP服务权利，于2017年4月5日4时许、4月6日3时许，两次使用从刘某（另案处理）处购买的安装在自己的手机中的黑客工具“Sbooter”，对“贝贝直播”平台服务器进行网络流量攻击，导致“贝贝直播”平台服务器在2017年4月5日3时29分25秒至3时59分26秒、4时13分38秒至4时43分39秒，4月6日2时55分44秒至3时25分47秒三个时间段内不能正常运行，“贝贝直播”平台用户无法登陆、消费，累计时长1.5个小时。经查，截止2017年4月5日，“贝贝直播”平台注册用户数（无重复数据）为492321。另查明，案发后，公安机关自被告人王建云处扣押作案工具手机一部（IMEI1:862466033684929，IMEI2:862466033684911）。证明以上事实并经庭审质证的证据有：1、证人崔某的证言、接受证据清单、IP地址清单、损失清单、贝贝直播服务器遭攻击数据清单、聊天记录、用户投诉情况说明、营业执照复印件，证实浙江寻亿网络科技有限公司位于余杭区南苑街道和合财富中心1幢1709号，其系该公司负责服务器的技术人员，公司使用的为阿里云服务器，“贝贝直播”平台属于公司文化、娱乐传播范围，平时24小时不间断滚动播放，直播平台服务器的IP地址为106.14.47.225，使用直播平台的客户通过主播消费的话需要花费人民币购买公司的虚拟货币，具体的消费形式就是充值消费，2017年4月5日、6日公司视频直播时发现直播平台服务器遭人为恶意攻击，导致平台不能使用，事发后，公司联系了阿里巴巴集团，阿里技术人员已经提供了部分攻击者的IP；其中，4月5日下午，攻击其公司直播平台服务器的人通过QQ（号码为3360813336）和直播平台客服聊天，对方提出需要直播平台的虚拟货币、靓号以及要求成为直播平台的VIP会员（客户在直播平台上需消费人民币10万元以上才能拥有一个靓号），通过公司阿里云账号登陆到管理后台，查看“贝贝直播”平台所在阿里云服务器的安全事件记录，其提供的两张截图显示了两次被攻击的异常流量数据以及阿里云后台根据异常流量所做的自动操作，其中“清洗”意思是对较小的异常流量的访问请求予以拒绝，以保障正常流量的访问请求不受影响，“黑洞”的意思是异常访问流量过大，超过了系统设置的流量阙值时，阿里云后台会拒绝该服务器所有的访问请求（包括正常流量和异常流量），在被设置“黑洞”期间服务器就处于完全瘫痪状态，不能响应任何请求；记录显示2017年4月5日3时29分24秒至3时59分25秒时间段阿里云后台做了清洗了异常流量的操作，因异常流量骤增，2017年4月5日3时29分24秒至3时59分26秒时间段阿里云后台度服务器做了置“黑洞”的操作，2017年4月5日3时29分26秒至5时13分39秒时间段，阿里云做了清洗异常流量的操作，2017年4月5日4时13分38秒至4时43分39秒阿里云后台对服务器做了置“黑洞”的操作，因在4月5日的时候，其所在公司服务器的“黑洞”阙值只有2G，异常流量很容易达到阙值触发“黑洞”，来不及“清洗”就被置“黑洞”，记录显示2017年4月6日2时55分44秒至3时55分47秒时间段，阿里云后台进行了清洗了异常流量的操作，因异常流量骤增，2017年4月6日2时55分46秒至3时25分47秒阿里云后台对服务器做了置“黑洞”的操作，两个被置“黑洞”操作导致服务器处于瘫痪状态的时间加起来共有90分钟，以及案发时间段，收到贝贝直播平台用户张某、主播邓徽、客服蓝贤磊、用户葛某投诉等事实；2、证人史某的证言，证实其系浙江寻亿网络科技有限公司“贝贝直播”平台客服，平时负责对平台进行巡查、客户申请的审核、接听投诉电话等，2017年4月6日凌晨3时许，“贝贝直播”平台受到黑客攻击，其看到平台的直播视频均是黑屏，然后断线，按正常情况，该时间段有十几个直播房间开着，后来直播房间的主播中有打客服电话177××××4866向其反映不能上直播的情况，另外还有客户也电话客服称不能登录直播平台，该情况持续了一个小时左右，当天和其一起值班的蓝贤磊称5号凌晨在值班时平台也曾被攻击了一次，对方（QQ为35×××43）还与客服聊天，告知客服是对方攻击平台，并以此要挟客服提供一个VIP靓号，其看到过该聊天记录，听蓝贤磊称这次被攻击导致平台持续半个小时不能正常登陆，以及直播平台有几万客户，具体数据公司后台有记录等事实；3、证人袁某的证言，证实其系浙江寻亿网络科技有限公司技术总监，“贝贝直播”平台2017年1月初正式上线，8月停止一切开发维护，10月份的时候因为租用的阿里云服务器到期被释放后，就彻底不存在，期间，4月份时直播平台被攻击过，当时是崔某报案，根据当时的统计，每个月的登陆用户数在15至20万之间，公安机关现场勘验时系统显示的49万多个会员中，活跃用户占40%左右，用户可以使用手机号码、QQ号码、微信、微博等免费注册平台账号，注册成功后，如果想要一些特效或者送主播礼物，则需要对账号进行充值，报案材料中提到2017年4月5日、4月6日受影响的用户分别是2000人左右、5000人左右，其中2017年4月5日受影响的2000人就是当时本来有2000个左右的用户在线，在服务器遭到攻击时突然掉线，4月6日受影响的5000人左右就是当时本来有5000个左右的用户在线，在服务器遭到攻击时突然掉线，这个数字是阿里云的监控上面显示的，且是最保守的统计，因为当时服务器几近瘫痪，还有一些用户想登录但是无法登录，该情况是无法统计的，访问连接数就是在攻击之前访问、连接“贝贝直播”服务器的网络请求，也就是在线的用户数，以及2017年10月份服务器到期，阿里云服务器到期后会自动被释放，故现在已经不能登录服务器去查看相关数据等事实；4、证人张某的证言，证实其系“贝贝直播”会员，于2017年2月注册，账号为23×××54，昵称为“贝龙哥家族张帅帅”，绑定的是其136××××2645的手机号，2017年4月初，其曾连续两天无法登陆“贝贝直播”会员账号，关闭再重新打开后关注人数等数据也不正常，无法进行操作，其中一次时凌晨2、3时许，其电话询问“贝贝直播”客服，对方称是系统问题，后来也有其他人说无法登陆，第三天“贝贝直播”平台才恢复的事实；5、证人葛某的证言，证实其系“贝贝直播”平台玩家，2017年初注册了平台的登陆账号，平时会在晚上登陆平台参与互动，2017年4月5日凌晨2、3时许，其登陆“贝贝直播”平台的时候发现网络很卡，退出后就无法登陆，其操作了三、四分钟，均无法登陆，后其将该情况向客服反映，客服留下其登陆的贝贝ID，并让其次日再登陆，但第二天其未登陆“贝贝直播”平台，以及其平常登陆时，平台里有很多直播房间，其进入房间看到一般有一百左右的人，但是人数不固定，多的时候一个房间有二三百人等事实；6、证人周某的证言，证实其系阿里巴巴集团员工，流量清洗和黑洞都是阿里云服务器的防护操作，系统按照阿里云服务器的配置，设置了流量清洗和黑洞的阙值（流量达到某个值就会触发清洗或者黑洞，这个值就是阙值），一旦访问流量达到阙值（根据服务器的配置、价格和所处区域不同，黑洞阙值不同，阿里云ESCSLBVPC的产品阙值从500M至5G不等），就会启动相应的操作，其中流量清洗的阙值用户可以自己设置，只要流量达到阙值就会启动流量清洗，并且在清洗过程中不断检测流量，直到流量达到正常为止；黑洞的阙值是根据阿里云服务器的配置或者价格由系统设定的，只要流量达到阙值就会触发黑洞，系统后台将要设置黑洞的服务器IP发送给运营商，运营商就会将该服务器的网络通信阻断，即“断网”，流量清洗和黑洞是两个不同的操作，不存在依赖关系，互不影响，黑洞期间流量清洗也有可能继续执行，流量清洗有可能导致正常流量被清洗，有可能会影响服务器的功能，黑洞就是服务器网络通信被阻断，完全不能访问，流量清洗的持续时间是设定一个初值，如果时间过了流量仍然大于阙值，清洗还会继续，黑洞的持续时间视攻击的情况而定，因为流量攻击一般会持续一段时间，故阿里云服务器的黑洞设置的是从30分钟至24小时不等，且黑洞期间不支持解封，一次黑洞结束后，只要流量小于黑洞阙值，会自动解封，如果流量还是大于阙值，再次置黑洞，这是人工无法干预的，发起攻击只是一个行为。流量攻击都是通过肉机或者反射进行的，所以发起攻击的一个行为必然导致被攻击服务器在一个时间段内持续遭到流量攻击，以及bps即bytepersecond（字节/秒），pps即packetpersecond（数据包/秒），都是用来表示流量的单位等事实；7、同案人员刘某的供述和辩解，证实其代理一家日本的IDC公司（官网地址是：vultr.com）的服务器，主要从事出租服务器或者空间的生意，2017年1、2月份的时候，其在一家叫OVH的国外IDC服务商官网（××）上租用了一台虚拟服务器，后从一个美国的黑客论坛（hackforums.net）上看到一个卖服务器流量的帖子，帖子中提供了一个网站链接（××），其访问该网站后，在网站聊天页面与对方沟通，对方以比特币交易的方式向其提供一组服务器的账号和密码（3台用于执行攻击指令的服务器，以及用于攻击的流量，一套网站源程序和数据库模版），其将账号和密码配置到其写好的PHP脚本程序中，再将该PHP脚本程序放在其代理的vultr.com云服务器中，对方还卖给其一套站点的源程序和数据库，其将程序和数据库部署到OVH的虚拟服务器，又找人修改和优化后，该网站（域名sdoot.prg，域名解析到IP地址213.32.64.7）就可以运行，该213.32.64.7服务器中数据库名为“ceshi”，其共建立了7个数据表，包括cron（主要是一些网址）、data（记录用户在网站公屏上喊话的内容）、DDOS（用户攻击的记录）、user（用户信息）、zt（记录本网站异常状态的持续时间）、充值日志表（记录用户充值日志）、登陆记录（记录用户登陆记录），user表中用户共有6700个左右，数据应该也是6700条左右，每条数据包含用户名、注册QQ等信息，其另外以200元价格在网上找人写了一个安卓的APK程序（名称为sbooter）放在网站上供用户下载使用；其做的这个网站是用来测试网络服务器的防御能力即用来攻击网络服务器，其先在一些QQ群里发布网站的链接，会有用户访问并注册，要发起攻击的话需要充值，充值可以通过微信、支付宝、QQ等扫码支付，支付完成后，程序会自动给对应账户充值，用户在APK或者网站上设置好要攻击的IP地址和端口号并发起攻击，程序就会调用放在vultr.com云服务器里的PHP脚本，访问××网站提供的服务器，并最终由该服务器寻找肉机，执行攻击指令，攻击的方式主要是NTP漏洞放大攻击，即放大访问流量到1000倍，并且不会在肉机上留下痕迹，攻击时间是采用UNIX时间戳来记录，即一串10位的数字，应该是世界标准时间，需要换算之后才能得到北京时间，这个时间应该是发起攻击时提交的时间点，单次攻击收费5元，包月有两种，120元每月可以攻击30次，240元每月可以攻击60次，其中用户名为jy930325的用户扫码支付给其240元，其手工给对方账户充值，该用户的攻击记录在数据库中应该有，以及其的微信号为微信号×××，聊天用的QQ号为15×××73，昵称为“飞鸟与鱼”等事实；8、现场勘验工作记录、远程勘验工作记录、光盘、情况说明，证实2017年5月31日10时10分，民警对浙江寻亿网络科技有限公司“贝贝直播”平台注册用户数进行勘验，点击页面左侧的用户管理，查询截止2017年4月5日，注册用户数（无重复数据）查询结果为492321，进入阿里云管理控制平台，查看“贝贝直播”租用的服务器后天，点选“态势感知-紧急事件”，发现事件日志2条的事实；9、现场勘验工作记录、远程勘验工作记录、截图、光盘，证实2017年5月25日11时50分，民警对刘某使用的IP为213.32.64.7的服务器进行勘验，将服务器中路经为“home/ftp/c/ceshi”文件夹中ceshi.sal数据库文件予以取证保存的事实；10、现场勘验工作记录、远程勘验工作记录、光盘，证实2017年5月25日12时10分，民警对刘某使用的IP为213.32.64.7的服务器进行勘验，提取服务器中“ftp”文件夹内的“sboot”文件夹内容，将“sboot”文件夹复制至取证盘，保存到213.32.64.7文件夹内的事实；11、电子物证检查工作记录、电子物证检查笔录、光盘，证实2017年5月17日14时30分，民警对被告人王建云使用的一部粉色vivo手机进行勘查，共采集各类手机信息67284条的事实；12、电子物证检查工作记录、电子物证检查笔录、截图、光盘，证实2017年6月5日11时30分，民警对数据库文件ceshi.sql进行勘查，查询贝贝直播服务器IP地址，得到3条结果，其中user字段数据为jy930325，有时间值的UNIX时间戳时间换算为北京时间分别为2017年4月5日4时20分42秒、2017年4月6日3时02分51秒，以及2018年1月24日17时20分，民警对文件夹sboot进行勘查，发现写入数据库ceshi的时间值比服务器系统时间大400，将数据库ceshi中记录王建云发起攻击的时间减去400，再换算为北京时间，得到攻击时服务器系统时间，显示换算后的时间为2017年4月5日4时14分2秒及2017年4月6日2时56分11秒等事实；13、调取证据通知书、调取证据清单、光盘，证实民警调取阿里云计算有限公司IP地址为106.14.47.225的阿里云服务器2017年4月4日至4月7日的流量日志，流量日志显示，IP为106.14.47.225的服务器于2017年4月5日3时29分25秒至3时59分26秒、4时13分38秒至4时43分39秒及2017年4月6日2时55分46秒至3时25分47秒三个时间段被攻击，进行DDOS_BLACKHOLD处理的事实；14、调取证据通知书、调取证据清单、光盘，证实民警调取财付通支付科技有限公司微信号×××的注册信息及2017年1月1日以来的交易记录，调取内容显示，×××的注册姓名为刘某，注册身份证号为，绑定手机号码为150××××4497等事实；15、扣押决定书及照片、查封（扣押）笔录，证实民警对被告人王建云随身携带的手机一部（IMEI1:862466033684929，IMEI2:862466033684911）予以扣押的事实；16、户口证明，证实被告人王建云的身份情况及户籍地查询无前科的事实；17、抓获经过、破案经过，证实被告人王建云系被抓获归案的事实；18、被告人王建云的供述和辩解、手机截图，证实2016年开始，其加了很多关于DDOS攻击的QQ群，2017年3月份，其在一个QQ群中看到昵称为“飞鸟和鱼”的人发了一个做压力测试的网站链接即www.sboot.org，其访问该网站后，页面上有“Sbooter”字样，后其在该网站注册了账号“jy930325”，并在“安卓APP下载”中下载安装了APP“Sbooter”，其通过查看帮助，掌握了通过“Sbooter”实施攻击的操作流程，操作流程就是先打开手机上的“网络速度计”APP，然后运行需要攻击的APP，“网络速度计”中可以看到要攻击APP服务器的IP地址，然后打开“Sbooter”，用账号登陆，在“控制台”中的“四层攻击启动器”或“七层攻击启动器”中输入要攻击的IP地址和端口号（其一般配80端口），就可以发动攻击，发动攻击时需要付费包月的，其共付费三次，网站中有收款的微信二维码和联系QQ号码15×××73，其通过扫码付费，微信转账凭证显示收款方为“RodriguezJohnson”，其将凭证截图发给对方，对方帮其账号充值，其共充值三次，一次是120元包月，每天可以攻击30次，第二次是单次攻击，付费5元，第三次是240元包月，每天可以攻击60次，其在手机上安装了“ping”APP，ping刚攻击过的IP地址，如果不通过或者响应很慢，说明攻击成功，其通过上述方法攻击过两次“贝贝直播”的服务器，一次是2017年4月5日凌晨三、四时许，造成服务器30至40分钟不能正常运行，其使用3306813336的号码与“贝贝直播”客服在QQ上说其攻击了“贝贝直播”服务器，让“贝贝直播”客服给其一个靓号，但对方拒绝，第二次攻击是4月6日凌晨三、四时许，其在操作“Sbooter”时直接点了重新攻击，这次其没有去测试有无攻击成功，其之所以攻击“贝贝直播”平台，就是想要一个靓号，用靓号进每个直播间会有一个进场特效，还会有语音介绍，民警向其出示的21张照片就是其手机上安装的应用及其使用这些应用的情况，www.sboot.org网址在其手机UC浏览器收藏夹内，以及其没有在其手机以外的其他设备上登陆过www.sboot.org这个网站等事实。证据确实充分且相互印证，足以认定。被告人王建云辩称其对“贝贝直播”进行攻击时，“贝贝直播”平台在线用户数不超过20人，且其对“贝贝直播”平台服务器仅攻击了400秒；辩护人提出，被告人王建云实施攻击时，“贝贝直播”上线人数仅为5000余人，经查，1）在案的证人崔某、史某、张某、葛某的证言及“贝贝直播”服务器遭攻击数据清单与侦查机关依法从阿里云计算有限公司调取的“贝贝直播”平台服务器（IP地址为106.14.47.225）2017年4月4日至4月7日的流量日志相互印证，证实因被告人王建云的攻击行为，导致“贝贝直播”平台服务器在2017年4月5日3时29分25秒至3时59分26秒、4时13分38秒至4时43分39秒，4月6日2时55分44秒至3时25分47秒三个时间段内不能正常运行，累计时长1.5个小时；2）在案的现场勘验工作记录、远程勘验工作记录、光盘、情况说明等证据可以相互印证，证实截止2017年4月5日，“贝贝直播”平台注册用户数（无重复数据）为492321。事实清楚，证据确实充分，结合“贝贝直播”平台的运行特点，依法应认定被告人王建云的行为造成“为49万以上用户提供服务的计算机信息系统不能正常运行累计1.5小时”，故上述辩解及辩护意见，与在案证据相互矛盾，且无证据予以证实，本院均不予采信。本院认为，被告人王建云违反国家规定，故意干扰计算机信息系统功能，造成计算机信息系统不能正常运行，后果特别严重，其行为已构成破坏计算机信息系统罪，公诉机关指控的罪名成立。被告人王建云归案后如实供述自己的主要犯罪事实，在庭审中自愿认罪，本院依法予以从轻处罚。辩护人的相关辩护意见，本院予以采纳。据此，依照《中华人民共和国刑法》第二百八十六条第一款、第六十七条第三款、第六十四条及《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第二款第（二）项之规定，判决如下：一、被告人王建云犯破坏计算机信息系统罪，判处有期徒刑五年六个月（刑期自判决执行之日起计算。判决执行前先行羁押的，羁押一日折抵刑期一日。即自2017年5月10日起至2022年11月9日止）。二、扣押于杭州市公安局余杭区分局未随案移送的被告人王建云的犯罪工具手机一部（IMEI1:862466033684929，IMEI2:862466033684911），予以没收，由杭州市公安局余杭区分局处理。如不服本判决，可在接到判决书的第二日起十日内，通过本院或直接向浙江省杭州市中级人民法院提出上诉。书面上诉的，应交上诉状正本一份，副本二份。审 判 长  李 敏人民陪审员  凌金才人民陪审员  洪立梅二〇一八年五月二十二日书 记 员  张 丽?*ArabicDash?-14-??*ArabicDash?-15-?