浙江省杭州市余杭区人民法院 刑 事 判 决 书 （2018）浙0110刑初1000号 公诉机关浙江省杭州市余杭区人民检察院。 被告人金某，男，汉族，中专文化程度，务工，住湖北省咸丰县。因本案于2017年8月15日被刑事拘留，同年9月11日被取保候审。 辩护人马洁（杭州市余杭区法律援助中心指派），浙江振业律师事务所律师。 杭州市余杭区人民检察院以杭余检公诉刑诉[2018]1037号起诉书指控被告人金某犯破坏计算机信息系统罪，于2018年10月11日向本院提起公诉。本院依法适用简易程序，后转为普通程序，公开开庭审理了本案。杭州市余杭区人民检察院指派检察员刘香玲出庭支持公诉。被告人金某及其辩护人马洁到庭参加诉讼。其间，经上级人民法院批准，延长审理期限二次，杭州市余杭区人民检察院建议延期审理一次。现已审理终结。 杭州市余杭区人民检察院指控： 2017年1、2月，刘某（已判决）通过租用境外云服务器、购买执行攻击指令的服务器、攻击流量等，架设了网站sboot.org,并制作了安卓手机端应用“Sbooter”。刘某为牟利，在明知会造成他人服务器被流量攻击的情况下，仍在QQ群中推广该网站，开放网站的注册、充值系统，供他人使用该网站和应用进行DDOS攻击，并根据充值金额大小发起不同次数的攻击。 2017年4月，被告人金某在刘某网站sboot.org注册账号“jc98×××78”，并付费购买攻击服务，于4月30日、5月2日多次攻击重庆麦络科技有限公司（以下简称麦络公司），造成该公司服务器在2017年4月30日13:24:30至13:59:31、2017年5月2日10:07:04至11:25:59、5月2日11:49:50至12:29:50累计超过2小时不能正常运行。被告人金某实施攻击时，麦络公司用户数量为10万以上。 据以指控的证据有书证；证人证言；电子物证检查笔录等；光盘数据；被告人的供述和辩解等。公诉机关认为，被告人金某的行为已构成破坏计算机信息系统罪，后果特别严重，提请本院依照《中华人民共和国刑法》第二百八十六条第一款之规定惩处。 被告人金某对公诉机关指控的事实无异议。 辩护人提出：（1）公诉机关认定被告人金某实施攻击时被害单位的用户数量为10万缺乏证据；（2）被告人金某归案后如实供述罪行，且当庭自愿认罪；（3）被告人金某系初犯、偶犯，且案发后取得了被害单位的谅解。综上，请求对被告人金某从轻处罚并适用缓刑。 经审理查明： 2017年1、2月，刘某（已判决）通过租用境外云服务器、购买执行攻击指令的服务器、攻击流量等，架设了网站sboot.org,并制作了安卓手机端应用“Sbooter”。刘某为牟利，在明知会造成他人服务器被流量攻击的情况下，仍在QQ群中推广该网站，开放网站的注册、充值系统，供他人使用该网站和应用进行DDOS攻击，并根据充值金额大小发起不同次数的攻击。 2017年4月，被告人金某在刘某网站sboot.org注册账号“jc98×××78”，并付费购买攻击服务，于4月30日、5月2日多次攻击重庆麦络科技有限公司（以下简称麦络公司），造成该公司服务器在2017年4月30日13:24:30至13:59:31、2017年5月2日10:07:04至11:25:59、5月2日11:49:50至12:29:50累计超过2小时不能正常运行。被告人金某实施攻击时，麦络公司用户数量近5万。 案发后，公安机关自被告人金某处扣押了犯罪工具联想笔记本电脑1台及苹果6S手机1部。 另查明，案发后，被告人金某取得了被害单位的谅解。 证明上述事实并经庭审质证的证据有： 1、证人吴某的证言、营业执照复印件、网页截图，证实其系重庆麦络科技有限公司的产品总监，公司主要经营计算机硬件的研发、销售，计算机系统集成、网站建设等，公司使用的是阿某云服务器，IP地址为119.23.45.255（域名wx.cqmellow.com），主要用于公司存放客户微信公众号的页面内容数据，该IP的网站注册用户有9个，每位用户的粉丝数量其不清楚，加起来至少有10万个，其公司的微信公众号“重庆麦络科技”（微信号×××）也放在该服务器，粉丝有83个；2017年5月初，其公司的服务器遭受过攻击，阿某云发邮件（邮箱monitor@monitor.aliyun.com，其接收阿某云的邮箱账号是471×××＠ｑｑ.ｃｏｍ）提示网站服务器（119.23.45.255）有可能遭受了攻击，其可以提供上述邮件给办案机关，由于其公司服务器之前没有安装防火墙，故无法提供具体相关日志，遭受攻击后，其联系阿某云技术人员在后台进行处理，2017年5月2日之后就没有再遭受流量攻击；其中2017年4月30日的攻击大约持续了2个小时，5月2日的攻击持续了约2个小时，具体攻击的流量其不清楚，受攻击期间，公司网站无法正常访问，部分微信功能服务无法正常提供；因为微信公众号的粉丝数量是动态的，受攻击时公司服务器中客户公众号的粉丝数量现在无法统计出来，其目前能够提供公众号的粉丝数量是167358个；另外，其提供的邮件显示，阿某云2017年4月30日中午1时59分发邮件给其，提示“您的IP119.23.45.255正在遭受外部流量攻击，已启动清洗服务抵御恶意流量攻击”，当日下午2时29分发邮件提示“您的IP119.23.45.255外部流量攻击已停止，已完成恶意流量清洗服务”；2017年5月2日上午10时07分发邮件提示，“您的IP119.23.45.255正在遭受外部流量攻击，已启动清洗服务抵御恶意流量攻击”，当日上午10时37分发邮件提示“您的IP119.23.45.255外部流量攻击已停止，已完成恶意流量清洗服务”；麦络公司提供的网页截图显示：注册的9个微信公众号中，有新关注、取消关注、净增关注以及累计关注4项内容，其中10万以上系累计关注数量，同时，各个公众号亦有取消关注情况存在的事实； 2、证明，2017年8月15日，重庆麦络科技有限公司出具证明，证实重庆麦络科技有限公司微信平台的网址为××，截至2017年6月底，托管的微信公众号旗下粉丝达10万以上，在2017年4月30日至5月2日期间，网站持续遭受外部攻击，导致网站无法正常使用，进而托管于其公司的微信公众号无法正常使用，影响波及至10万粉丝无法正常使用微信公众号的相关功能，造成一定的恶性影响；由于2017年6月之前，无法查询托管的微信公众号的详细粉丝数，但从粉丝的持续增长波动来预估，2016年底时，重庆麦络科技有限公司微信平台大概覆盖5万左右粉丝的事实； 3、证人王某的证言、接受证据清单、阿某云计算有限公司被攻击的服务器IP列表，授权委托书，证实其系阿某巴巴集团公司安全部的工作人员，阿某云计算有限公司是阿某集团下面的子公司，公司内部调查之后发现，2017年6月，阿某云计算有限公司租出去的很多阿某云服务器的IP被人攻击过，经过内部整理，目前有仍在使用的服务器IP中有400余个是之前被攻击过的，还有一些IP因已经变更使用人，系统自动覆盖前面的信息，故之前的租用信息都没有了，租用阿某云服务器的客户发现服务器被攻击后，有些会和公司联系，但因目前DDOS攻击很难溯源，其一般建议客户购买流量大的服务器或者高防的服务器抵御黑客攻击，阿某云服务器根据容量、性能，价格从几十块到几万每月都有，目前阿某云公司有约200多万个客户，付费的客户有70多万，但该数据每天都会变化，阿某云公司占全国市场的37%左右，客户的服务器被攻击后，有些客户会认为是阿某云的服务器保障不好，有些客户就会选择其他公司的服务器，对公司业务造成影响，具体损失无法估计，被攻击过的服务器IP，只要有攻击的时间记录，一般都能很快查到服务器被攻击的异常记录，以及王某提供被攻击服务器IP列表中，有重庆麦络科技有限公司IP地址119.23.45.255等事实； 4、证人周某的证言，证实其系阿某巴巴集团员工，流量清洗和黑洞都是阿某云服务器的防护操作，系统按照阿某云服务器的配置，设置了流量清洗和黑洞的阙值（流量达到某个值就会触发清洗或者黑洞，这个值就是阙值），一旦访问流量达到阙值（根据服务器的配置、价格和所处区域不同，黑洞阙值不同，阿某云ESCSLBVPC的产品阙值从500M至5G不等），就会启动相应的操作，其中流量清洗的阙值用户可以自己设置，只要流量达到阙值就会启动流量清洗，并且在清洗过程中不断检测流量，直到流量达到正常为止；黑洞的阙值是根据阿某云服务器的配置或者价格由系统设定的，只要流量达到阙值就会触发黑洞，系统后台将要设置黑洞的服务器IP发送给运营商，运营商就会将该服务器的网络通信阻断，即“断网”，流量清洗和黑洞时两个不同的操作，不存在依赖关系，互不影响，黑洞期间流量清洗也有可能继续执行，流量清洗有可能导致正常流量被清洗，有可能会影响服务器的功能，黑洞就是服务器网络通信被阻断，完全不能访问，流量清洗的持续时间是设定一个初值，如果时间过了流量仍然大于阙值，清洗还会继续，黑洞的持续时间视攻击的情况而定，因为流量攻击一般会持续一段时间，故阿某云服务器的黑洞设置的是从30分钟至24小时不等，且黑洞期间不支持解封，一次黑洞结束后，只要流量小于黑洞阙值，会自动解封，如果流量还是大于阙值，再次置黑洞，这是人工无法干预的，发起攻击只是一个行为。流量攻击都是通过肉机或者反射进行的，所以发起攻击的一个行为必然导致被攻击服务器在一个时间段内持续遭到流量攻击，以及bps即bytepersecond（字节/秒），pps即packetpersecond（数据包/秒），都是用来表示流量的单位等事实； 5、证人涂某的证言，证实其一直务农，没有租用过IP地址为203.195.164.50的服务器，其也不知道为何租用这个服务器的信息使用的其的身份证和手机号码，可能是其的身份信息被盗用了，以及其使用的132××××0032的手机号码是2004年注册并开始使用的，其不会用电脑，也不懂IP地址是什么，没有办理过工商营业执照等事实； 6、同案人员刘某的供述和辩解，证实其代理一家日本的IDC公司（官网地址是：vultr.com）的服务器，主要从事出租服务器或者空间的生意，2017年1、2月份的时候，其在一家叫OVH的国外IDC服务商官网（××）上租用了一台虚拟服务器，后从一个美国的黑客论坛（hackforums.net）上看到一个卖服务器流量的帖子，帖子中提供了一个网站链接（××），其访问该网站后，在网站聊天页面与对方沟通，对方以比特币交易的方式向其提供一组服务器的账号和密码（3台用于执行攻击指令的服务器，以及用于攻击的流量，一套网站源程序和数据库模版），其将账号和密码配置到其写好的PHP脚本程序中，再将该PHP脚本程序放在其代理的vultr.com云服务器中，对方还卖给其一套站点的源程序和数据库，其将程序和数据库部署到OVH的虚拟服务器，又找人修改和优化后，该网站（域名sboot.org，域名解析到IP地址213.32.64.7）就可以运行，其另外以200元价格在网上找人写了一个安卓的APK程序（名称为sbooter）放在网站上供用户下载使用；其做的这个网站是用来测试网络服务器的防御能力即用来攻击网络服务器，其先在一些QQ群里发布网站的链接，会有用户访问并注册，要发起攻击的话需要充值，充值可以通过微信、支付宝、QQ等扫码支付，支付完成后，程序会自动给对应账户充值，用户在APK或者网站上设置好要攻击的IP地址和端口号并发起攻击，程序就会调用放在vultr.com云服务器里的PHP脚本，访问××网站提供的服务器，并最终由该服务器寻找肉机，执行攻击指令，攻击的方式主要是NTP漏洞放大攻击，即放大访问流量到1000倍，并且不会在肉机上留下痕迹；213.32.64.7这台服务器的数据库名为“ceshi”，其被抓时用其电脑上的WinScp远程连接到该服务器上，复制的ceshi.sql就是对应的数据库文件，其共建了7个数据表，包括cron（主要是一些网址，没什么用）、data（记录用户在网站公屏上喊话的内容）、DDOS（用户攻击的记录）、user（用户信息）、zt（记录本网站异常状态的持续时间）、充值日志表（记录用户充值日志的）、登陆记录（记录用户登陆记录的），user表中用户共有6700个左右，数据应该也是6700条左右，每条数据包含用户名、注册QQ等信息，以及其的微信号为微信号×××，聊天用的QQ昵称为“飞鸟与鱼”等事实； 6、查封（扣押）笔录、扣押决定书、扣押清单，证实公安机关对金某的1部苹果手机、1台联想笔记本电脑予以扣押的事实； 7、调取证据通知书、流量日志清单及光盘，证实民警自阿某云计算科技有限公司调取121.42.234.229等IP在今年4、5月以来被DDOS攻击的流量日志及相关资料，并附卷，其中，用户名jc98×××78下对应9个IP进行攻击，造成该上述IP进行DDOS_BLACKHOLD处理，其中，119.23.45.255的IP于2017年4月30日13:24:30至13:59:31、2017年5月2日10:07:04至11:25:59、5月2日11:49:50至12:29:50被攻击的事实； 8、调取证据通知书、接受证据清单、光盘，证实公安机关自支付宝（中国）网络技术有限公司调取17783100985在2017年1月至6月的支付宝交易记录和注册信息，调取315×××＠ｑｑ.ｃｏｍ在2016年12月至2017年6月的支付宝交易记录和注册信息，并光盘附卷的事实； 9、调取证据通知书、调取证据清单及光盘，证实公安机关自深圳市腾讯计算机系统有限公司调取IP为203.195.164.50的注册信息，显示该IP地址为203.195.164.50的注册人为涂某，身份证号4209841979××××××××，联系方式为132××××0032的事实； 10、调取证据通知书、证明，证实公安机关自汉川市市场监督管理局调取涂某（身份证号4209841979××××××××）的工商注册信息，汉川市市场监督管理局出具证明，经湖北省市场监管综合业务管理系统查询，截止2019年8月29日，未查询到涂某（身份证号4209841979××××××××）的登记信息的事实； 11、电子证物检查工作记录、电子物证检查笔录、光盘，证实2017年8月23日8时55分至10时30分，侦查人员对被告人金某的苹果手机进行电子证物检查，并生成报告附卷的事实； 12、电子证物检查工作记录、电子物证检查笔录、提取电子证据清单、光盘，证实2017年8月23日15时40分至17时25分，侦查人员对被告人金某的联想笔记本电脑进行电子证物检查，并生成报告附卷，搜索“sboot”，获得75个结果，在桌面文件“IP地址.txt”打开内有麦微擎119.23.45.255等内容，该文件创建时间为2017年3月9日17时38分20秒，修改时间为2017年5月2日11时06分27秒等的事实； 13、电子证物检查工作记录、电子证物检查笔录及截图，证实2017年10月17日14时20分至15时20分，侦查人员对数据库文件ceshi.sql进行检查，提取数据库中记录的金某的注册信息及攻击记录，运行数据库管理软件，浏览数据库“刘某”，选择“user”表，查询金某的用户名“jc98×××78”得到一条结果，注册QQ字段为98×××78，查询赵明的用户名“aspasp”得到一条结果，注册QQ字段为315559，选择“ddos”表，查询金某的用户名“jc98×××78”，得到211条结果，截图并导出为“金某导出.csv”的事实； 14、刑事谅解书，证实案发后，被告人金某已经获得被害单位重庆麦络科技有限公司的谅解的事实； 15、情况说明，证实被害单位重庆脉络科技有限公司出具情况说明，说明2017年4月，被告人金某对其公司网站的计算机系统功能进行DDOS攻击，导致网站不能正常运行，攻击时注册用户数量为10万以上，经过平台用户反映和公司内部评估，认为实际受到影响用户约9000人左右； 16、户籍证明、证明、情况说明，证实被告人金某的身份情况以及经户籍地、公安网查询均无违法犯罪记录的事实； 17、抓获（破案）经过，证实被告人金某系被抓获归案的事实； 18、被告人金某的供述和辩解，证实2017年4月，其在网上了解DDOS攻击，通过搜索加入“Sbooter压力测试二群”，群号码是244606774，群主为“飞鸟和鱼”（QQ号码15×××73），入群后，其知道“飞鸟和鱼”做了sboot.org网站，只要注册会员并充值，支付很少的费用，输入要攻击的网站IP地址，该网站上就能提供DDOS攻击服务；其使用QQ98×××78在该网站注册了“jc98×××78”的会员，先支付了5元钱，输入自己公司的网站IP测试了一下攻击流量，发现该DDOS攻击有10G的流量，后其公司网站被置黑洞，网页无法打开，发现真的能够发起DDOS攻击后，其购买了一个月的会员，一个月内每天能攻击30次，只要在网站输入被攻击服务器的IP地址，后台就会进行DDOS攻击，但是具体如何实现其不知道，其每次输入被攻击的IP地址，十几秒之后攻击就会开始，验证攻击是否成功就是打开被攻击的网站，或者ping一下被攻击的IP，一般攻击阿某云的服务器都会成功，因为阿某云有被置黑洞的功能，攻击超过一定的流量就会切断网络服务，其试过阈值，如果没有开高防IP，超过5G的流量就会被置黑洞，即服务器会断网，网站无法访问；其共攻击过十几个IP，其记得其中有重庆麦络科技有限公司，其发现该公司的微信管理系统好像是盗版，其ping了该公司的网址获得服务器的IP地址，输入sboot网站进行攻击，共攻击了三、四次，攻击之后其验证发现攻击成功，其发起DDOS攻击的记录sboot网站里面应该有，之所以攻击这些公司，是因为其之前在这些公司购买代码，发现代码不能使用或者是盗版，花了冤枉钱，故其想报复一下等事实。 上述证据确实充分且相互印证，足以认定。 公诉机关指控麦络公司的用户数量为10万以上；辩护人提出公诉机关认定被告人金某实施攻击时被害单位的用户数量为10万缺乏证据；经查，依据在案证人吴某的证言、网页截图、证明等证据，认定被告人金某实施犯罪时，导致麦络公司为近5万用户提供服务的计算机信息系统无法正常运行，公诉机关的其余指控本院不予认定，上述辩护意见，本院予以采纳。 本院认为，被告人金某违反国家规定，对计算机信息系统功能进行干扰，造成计算机信息系统不能正常运行，后果严重，其行为已构成破坏计算机信息系统罪。公诉机关指控的罪名成立，但公诉机关指控被告人金某破坏计算机信息系统的行为属后果特别严重不当，本院不予认定。被告人金某如实供述自己的罪行，依法予以从轻处罚。被告人金某自侦查阶段起自愿认罪，且获得被害单位的谅解，本院酌情予以从轻处罚，并对被告人金某适用缓刑。辩护人的相关辩护意见，本院予以采纳。据此，依照《中华人民共和国刑法》第二百八十六条第二款、第一款、第六十七条第三款、第七十二条第一款、第七十三条第二款、第三款、第六十四条及《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第一款第（四）项之规定，判决如下： 一、被告人金某犯破坏计算机信息系统罪，判处有期徒刑三年，缓刑三年（缓刑考验期限自判决确定之日起计算）。 二、扣押于杭州市公安局余杭区分局未随案移送的被告人金某的犯罪工具联想笔记本电脑一台、苹果手机一部，均予以没收，上缴国库。 如不服本判决，可在接到判决书的第二日起十日内，通过本院或直接向浙江省杭州市中级人民法院提出上诉。书面上诉的，应交上诉状正本一份，副本二份。 审 判 长  李 敏 人民陪审员  戴莉莎 人民陪审员  沈水花 二〇一九年十二月十八日 书 记 员  张 丽