震撼世界的“蠕虫”病毒案 蠕虫”病毒案案情简介 罗伯特·莫瑞斯( Robert t· Morris,.Jr)是美国康奈尔大学( Cornell University)的学 生,年仅23岁。1988年11月2日,他在自己的计算机上,用远程命令将自己编写的蠕虫 (Worm)程序送进互联网。他原本希望这个“无害”的蠕虫程序可以慢慢地渗透到政府与 研究机构的网络中,并且悄悄地呆在那里,不为人知。然而,由于莫瑞斯在他的程序编制中 犯了一个小错误,结果这个蠕虫程序疯狂地不断复制自己,并向整个互联网迅速蔓延。待到 莫瑞斯发现情况不妙时,他已经无能为力了,他无法终止这个进程。据说,莫瑞斯曾请哈佛 大学的一位朋友在 Arpanet网上发了一条关于这个蠕虫程序的警报,但由于 Arpanet网络已 超载,几乎没有什么人注意到或接受到这条信息。于是,小小的蠕虫程序,在1988年11 月2日至11月3日的一夜之间,袭击了庞大的互联网,其速度是惊人的。表12-1可以大致 反映蠕虫侵袭的时间顺序(表中的时间为美国东部标准时间, Eastern Standard Time)。l 表12-1蠕虫侵袭互联网时间表 日期 时间 蠕虫侵袭进度 九 17:0 纽约康奈尔大学检测出蠕虫 八|21:00 加里福尼亚的斯坦福大学和兰德公司的系统中发现蠕虫 年[2:0加州大学cs分校被蠕虫攻击 23:00 新泽西州普林斯顿大学数学系遭受蠕虫袭击 月 23:0 麻省理工学院人工智能实验室发现蠕虫 23:28加州大学Davs分校和 San Diego分校、加州的 Lawrene Livermore实验室、美国航空航天署(NASA)被蠕虫击中 23:45 美国陆军弹道研究实验室发现蠕虫 01:00 冈络的主机报告发现蠕虫 大 在麻省的哈佛大学发现蠕虫 03:30 蠕虫入侵麻省理工学院计算中心 04:0 由于网络超载,病毒传播速度减慢,但大约有1000个场地的主 机已经遭到袭击 宾夕法尼亚的匹兹堡大学发现蠕虫 08:00 Smithsonian空间物理中心被蠕虫袭击 15:00 蠕虫解毒软件分发给受侵单位和个人 21:00 在麻省理工学院举行第一次有关蠕虫的记者招待会 莫瑞斯的蠕虫一夜之间攻击了互联网上约6200台VAX系列小型机和Sun工作站,300 多个大学、议院和研究中心都发布了关于蠕虫攻击的报告。DCA的一位发言人宣称,蠕虫 不仅攻击了 Arpanet系统,而且攻击了军用的 MILNET网中的几台主机。大量数据被破坏 整个经济损失估计达9600万美元。图12-1反映了蠕虫病毒破坏轨迹 Harold Joseph, "Random Bits Bytes", Computer& Security, 1989.8., Highland
震撼世界的“蠕虫”病毒案 一、“蠕虫”病毒案案情简介 罗伯特·莫瑞斯（Robert T·Morris, Jr.）是美国康奈尔大学（Cornell University）的学 生，年仅 23 岁。1988 年 11 月 2 日，他在自己的计算机上，用远程命令将自己编写的蠕虫 （Worm） 程序送进互联网。他原本希望这个“无害”的蠕虫程序可以慢慢地渗透到政府与 研究机构的网络中，并且悄悄地呆在那里，不为人知。然而，由于莫瑞斯在他的程序编制中 犯了一个小错误，结果这个蠕虫程序疯狂地不断复制自己，并向整个互联网迅速蔓延。待到 莫瑞斯发现情况不妙时，他已经无能为力了，他无法终止这个进程。据说，莫瑞斯曾请哈佛 大学的一位朋友在 Arpanet 网上发了一条关于这个蠕虫程序的警报，但由于 Arpanet 网络已 超载，几乎没有什么人注意到或接受到这条信息。于是，小小的蠕虫程序，在 1988 年 11 月 2 日至 11 月 3 日的一夜之间，袭击了庞大的互联网，其速度是惊人的。表 12-1 可以大致 反映蠕虫侵袭的时间顺序（表中的时间为美国东部标准时间，Eastern Standard Time）。1 表 12-1 蠕虫侵袭互联网时间表 日期 时间 蠕虫侵袭进度 一 九 八 八 年 十 一 月 二 日 星 期 三 17：00 纽约康奈尔大学检测出蠕虫 21：00 加里福尼亚的斯坦福大学和兰德公司的系统中发现蠕虫 22：00 加州大学 Berkeley 分校被蠕虫攻击 23：00 新泽西州普林斯顿大学数学系遭受蠕虫袭击 23：00 麻省理工学院人工智能实验室发现蠕虫 23：28 加州大学 Davis 分校和 San Diego 分校、加州的 Lawrence Livermore 实验室、美国航空航天署（NASA）被蠕虫击中 23：45 美国陆军弹道研究实验室发现蠕虫 一 九 八 八 年 十 一 月 三 日 星 期 四 01：00 15 台 Arpanet 网络的主机报告发现蠕虫 02：00 在麻省的哈佛大学发现蠕虫 03；30 蠕虫入侵麻省理工学院计算中心 04；00 由于网络超载，病毒传播速度减慢，但大约有 1000 个场地的主 机已经遭到袭击 05：15 宾夕法尼亚的匹兹堡大学发现蠕虫 08：00 Smithsonian 空间物理中心被蠕虫袭击 15：00 蠕虫解毒软件分发给受侵单位和个人 21；00 在麻省理工学院举行第一次有关蠕虫的记者招待会 莫瑞斯的蠕虫一夜之间攻击了互联网上约 6200 台 VAX 系列小型机和 Sun 工作站，300 多个大学、议院和研究中心都发布了关于蠕虫攻击的报告。DCA 的一位发言人宣称，蠕虫 不仅攻击了 Arpanet 系统，而且攻击了军用的 MILNET 网中的几台主机。大量数据被破坏， 整个经济损失估计达 9600 万美元。图 12-1 反映了蠕虫病毒破坏轨迹。 1 Harold Joseph, “Random Bits & Bytes”, Computer & Security, 1989.8., Highland
M 个世纪前,美国IBM公司发 台电脑。当时的电 脑由真空管成,体积庞大,而 且仅能做简单的计算,严格地说 来只是 奇,吸引了不少关爱的眼申。数 年之后,适逢美国总统大上,美 风访同电脑,煞有其事的问 电脑,请问您,这次大选 谁 观众透过电见新闻的面收看这段访可。 口无言。新记者于是自 嘲地说:“今日的电脑并没有给这个世界 但是,相信在不久的将来,人类的生活方式必定受其影响而改 变。”这位新闻记者的预言是正确的。时至今日,电脑已成为 我们工作和生活中不可缺少的伴侣 图12-1蠕虫破坏轨迹示意图 “互联网事件”发生后,美国各种新闻媒介大肆宣扬。《纽约时报》、《华盛顿邮报》、《今 天》等各大报刊连续两周报道了事件的发生、造成的损失、各界人士的反映和肇事者的情况。 时间满城风雨,人心惶惶。在此之前,大多数计算机用户对计算机及网络的安全性还是很 有信心的,“互联网事件”对广大用户的这种信心无疑是一次沉重的打击。 “互联网事件”同样也极大地震惊了计算机安全人员与其他专业人员。在莫瑞斯 的蠕虫大举进攻之际,许多网络管理员、安全专家和研究人员急切而又灰心,他们甚至不 敢相信眼前正在发生的事情。有一份介绍蠕虫攻击情况的报告是这样开头的:“现在是 1988年1月3日清晨3点5分。我很累了,所以请不要相信下面描述的任何事情……”。 “互联网事件”的确是一场灾难,但决不是象某些报刊所说的是“计算机系统的末日”。 事实上,清除病毒的工作开展得相当迅速。11月2日星期三发现病毒,到星期四晚上就公 布了一个消毒方案;到周末,病毒已经被控制住了。随后,美国国防部在 Carnegie-Mlon 大学的软件工程学院建立了一个由100名计算机专家组成的应急小组,专门研究国防部门计 算机系统对计算机病毒攻击的防卫问题,并及时了解互联网的安全情况。可以说,“互联网 事件”为计算机安全专家敲响了警钟,使之成为研究部门最迫切的研究课题。 在谈及“互联网事件”的影响时,我们自然回想到那巨大的经济损失和艰巨的消毒劳动 也会想到专家们对计算机安全问题的困惑和用户对计算机系统的可靠性的担忧,这是事件影 响的一个方面。事件影响的另外两个方面则更加重要 计算机病毒研究作为一项专门 研究,从此登上计算机科学领域的舞台;第二,计算机法( Computer Law)的软弱无力引起 社会的普遍关注 Harold Joseph, "Random Bits Bytes", Computer& Security, 1989.8, Highland
半个世纪前，美国 IBM 公司发 明了世界第一台电脑。当时的电 脑由真空管做成，体积庞大，而 且仅能做简单的计算，严格地说 来只是一台电子计算器。由于新 奇，吸引了不少关爱的眼神。数 年之后，适逢美国总统大选，美 国电视新闻网的记者，拿着麦克 风访问电脑，煞有其事的问： “Mr. 电脑，请问您，这次大选 谁会获胜？”美国的观众透过电视新闻的画面收看这段访问。 而，数十秒钟后，电脑始终哑口无言。新闻记者于是自我解 嘲地说：“今日的电脑并没有给这个世界带来太多的贡献， 但是，相信在不久的将来，人类的生活方式必定受其影响而改 变。”这位新闻记者的预言是正确的。时至今日，电脑已成为 我们工作和生活中不可缺少的伴侣。 图 12-1 蠕虫破坏轨迹示意图 “互联网事件”发生后，美国各种新闻媒介大肆宣扬。《纽约时报》、《华盛顿邮报》、《今 天》等各大报刊连续两周报道了事件的发生、造成的损失、各界人士的反映和肇事者的情况。 一时间满城风雨，人心惶惶。在此之前，大多数计算机用户对计算机及网络的安全性还是很 有信心的，“互联网事件”对广大用户的这种信心无疑是一次沉重的打击。 “互联网事件”同样也极大地震惊了计算机安全人员与其他专业人员。在莫瑞斯 的蠕虫大举进攻之际，许多网络管理员、安全专家和研究人员急切而又灰心，他们甚至不 敢相信眼前正在发生的事情。有一份介绍蠕虫攻击情况的报告是这样开头的：“现在是 1988 年 1 月 3 日清晨 3 点 5 分。我很累了，所以请不要相信下面描述的任何事情……”。 2 “互联网事件”的确是一场灾难，但决不是象某些报刊所说的是“计算机系统的末日”。 事实上，清除病毒的工作开展得相当迅速。11 月 2 日星期三发现病毒，到星期四晚上就公 布了一个消毒方案；到周末，病毒已经被控制住了。随后，美国国防部在 Carnegie-Mellon 大学的软件工程学院建立了一个由 100 名计算机专家组成的应急小组，专门研究国防部门计 算机系统对计算机病毒攻击的防卫问题，并及时了解互联网的安全情况。可以说，“互联网 事件”为计算机安全专家敲响了警钟，使之成为研究部门最迫切的研究课题。 在谈及“互联网事件”的影响时，我们自然回想到那巨大的经济损失和艰巨的消毒劳动， 也会想到专家们对计算机安全问题的困惑和用户对计算机系统的可靠性的担忧，这是事件影 响的一个方面。事件影响的另外两个方面则更加重要：第一，计算机病毒研究作为一项专门 研究，从此登上计算机科学领域的舞台；第二，计算机法（Computer Law）的软弱无力引起 社会的普遍关注。 2 Harold Joseph, “Random Bits & Bytes”, Computer & Security, 1989.8, Highland
“互联网事件”使得美国人不得不承认,计算机法的普及与计算机科学的发展极不平衡 人们对利用计算机病毒犯罪的看法非常混乱,许多人甚至对此根本没有认识。“互联网事件” 后,所有的报道都认为,肇事者莫瑞斯编写蠕虫程序并非出自恶意,莫瑞斯本人或许直到被 推上法庭也不认为自己是犯了罪。事件公布后,公众对莫瑞斯的态度多种多样:有人愤愤然 认为他犯了弥天大罪,法庭应当绞死他:有人爱惜其才华(不能不承认,莫瑞斯编制的蠕虫 程序具有极高的技巧),认为这样的青年是国家的财富:也有人持折中态度,认为莫瑞斯犯 了错误,但不至于被投进监狱。种种言论都反映了计算机法律观念的淡薄,暴露了计算机法 律管理中的问题和漏洞。 有趣的是,莫瑞斯是美国政府高级计算机安全专家的儿子,其父是致力于计算机安全研 究的美国国家计算机安全局的主要科学家。莫瑞斯从中学起兴趣就转向了计算机,17岁在 贝尔(Be)实验室工作,接着参加哈佛大学计算机计划,在其心理学计算中心当程序员, 随后考入康奈尔大学计算机系学习。雄厚的计算机基础使莫瑞斯具备了制造计算机病毒的能 力。不管莫瑞斯当初编制蠕虫程序的用意是什么,“互联网事件”造成的损失是既成事实 莫瑞斯于1989年7月被推上美国地方法庭。 二、“蠕虫”病毒案法庭辮论的焦点 在对莫瑞斯的审判中,遇到了许多新问题。由于陪审团成员都是由居住在其管辖区的选 举人随机地选出来的,很少有人了解计算机的专业知识,依据一些报告进行审理时,陪审团 被计算机专家和辩护律师所使用的计算机术语搞得晕头转向。法庭辩论的焦点集中在以下几 个问题 1.蠕虫是不是计算机病毒? 计算机专家对蠕虫程序有三种见解: 蠕虫就是病毒。许多人认为,蠕虫是一种病毒,它具有计算机病毒的一般特征,如传染 性、攻击性、破坏性等。 蠕虫是不同于一般病毒的被动性病毒。有的专家认为,自从科恩( Frederick B· Cohen) 1984年发表有关病毒的研究成果以来,计算机病毒已发展成两个不同的类型:主动型和被 动型。主动型病毒直接损伤和破坏计算机系统,勒海病毒( Lehigh)和巴基斯坦病毒( Pakistani Brain)是主动型病毒的例子。被动型病毒栖身于后台,它窃取某些程序的口令字,冒充合 法用户将病毒程序拷贝到远程计算机中,利用原有的活动天窗3收集信息以攻击系统。蠕 虫病毒是被动型病毒的例子 蠕虫不是病毒。以美国著名计算机专家M?斯图尔特?莱因 ( M.Stuart Lynn)为首的技术调查委员会发表的调查报告中断定,莫瑞斯所写的程序从 技术上讲不是病毒,而是一种揭露性的攻击程序。因为病毒对计算机的攻击是非法使用计算 机用户的正常操作程序,而蠕虫程序的运行却要借助于计算机操作系统本身的错误和漏洞。 莫瑞斯的蠕虫揭露了计算机系统的弱点,这些弱点是由于人为疏忽或技术落后造成的 首先,设计网络的电子信件的编程人员,保留了一个秘密的“后门”,他可以很容易地 读写到其工作关注的目标。当编程人员完成任务以后,他忘记关闭这个“后门”。他设计这 个“后门”是为了读写那些管理人员不允许读写的程序。莫瑞斯发现了这个秘密的“后门 并方便地进入。与此相类似,系统还存在其它的秘密入口,这些入口还会被其他攻击者所揭 3天窗是嵌在操作系统里的一段致病软件。渗透者利用该软件提供的方法侵入计算机系统而不经检测。天 窗由专门的命令激活,一般不会有人发现它。天窗是操作系统中可供渗透的一个缺陷,它可能是程序设计 人员预留的,也可能是操作系统生产厂家不道德的雇员装入的。(参见 Karger,P.A. and schel,RR, "Multilevel Security Evaluation: Vulnerability Analysis", ESD-TR-74-193, Vol. 2, 1974.)
“互联网事件”使得美国人不得不承认，计算机法的普及与计算机科学的发展极不平衡， 人们对利用计算机病毒犯罪的看法非常混乱，许多人甚至对此根本没有认识。“互联网事件” 后，所有的报道都认为，肇事者莫瑞斯编写蠕虫程序并非出自恶意，莫瑞斯本人或许直到被 推上法庭也不认为自己是犯了罪。事件公布后，公众对莫瑞斯的态度多种多样：有人愤愤然 认为他犯了弥天大罪，法庭应当绞死他；有人爱惜其才华（不能不承认，莫瑞斯编制的蠕虫 程序具有极高的技巧），认为这样的青年是国家的财富；也有人持折中态度，认为莫瑞斯犯 了错误，但不至于被投进监狱。种种言论都反映了计算机法律观念的淡薄，暴露了计算机法 律管理中的问题和漏洞。 有趣的是，莫瑞斯是美国政府高级计算机安全专家的儿子，其父是致力于计算机安全研 究的美国国家计算机安全局的主要科学家。莫瑞斯从中学起兴趣就转向了计算机，17 岁在 贝尔（Bell）实验室工作，接着参加哈佛大学计算机计划，在其心理学计算中心当程序员， 随后考入康奈尔大学计算机系学习。雄厚的计算机基础使莫瑞斯具备了制造计算机病毒的能 力。不管莫瑞斯当初编制蠕虫程序的用意是什么，“互联网事件”造成的损失是既成事实。 莫瑞斯于 1989 年 7 月被推上美国地方法庭。 二、“蠕虫”病毒案法庭辩论的焦点 在对莫瑞斯的审判中，遇到了许多新问题。由于陪审团成员都是由居住在其管辖区的选 举人随机地选出来的，很少有人了解计算机的专业知识，依据一些报告进行审理时，陪审团 被计算机专家和辩护律师所使用的计算机术语搞得晕头转向。法庭辩论的焦点集中在以下几 个问题： 1. 蠕虫是不是计算机病毒？ 计算机专家对蠕虫程序有三种见解： 蠕虫就是病毒。许多人认为，蠕虫是一种病毒，它具有计算机病毒的一般特征，如传染 性、攻击性、破坏性等。 蠕虫是不同于一般病毒的被动性病毒。有的专家认为，自从科恩（Frederick B·Cohen） 1984 年发表有关病毒的研究成果以来，计算机病毒已发展成两个不同的类型：主动型和被 动型。主动型病毒直接损伤和破坏计算机系统，勒海病毒（Lehigh）和巴基斯坦病毒（Pakistani Brain）是主动型病毒的例子。被动型病毒栖身于后台，它窃取某些程序的口令字，冒充合 法用户将病毒程序拷贝到远程计算机中，利用原有的活动天窗 3 收集信息以攻击系统。蠕 虫病毒是被动型病毒的例子。 蠕虫不是病毒。以美国著名计算机专家 M?斯图尔特?莱因 （MStuart Lynn）为首的技术调查委员会发表的调查报告中断定，莫瑞斯所写的程序从 技术上讲不是病毒，而是一种揭露性的攻击程序。因为病毒对计算机的攻击是非法使用计算 机用户的正常操作程序，而蠕虫程序的运行却要借助于计算机操作系统本身的错误和漏洞。 莫瑞斯的蠕虫揭露了计算机系统的弱点，这些弱点是由于人为疏忽或技术落后造成的。 首先，设计网络的电子信件的编程人员，保留了一个秘密的“后门”，他可以很容易地 读写到其工作关注的目标。当编程人员完成任务以后，他忘记关闭这个“后门”。他设计这 个“后门”是为了读写那些管理人员不允许读写的程序。莫瑞斯发现了这个秘密的“后门” 并方便地进入。与此相类似，系统还存在其它的秘密入口，这些入口还会被其他攻击者所揭 露。 3 天窗是嵌在操作系统里的一段致病软件。渗透者利用该软件提供的方法侵入计算机系统而不经检测。天 窗由专门的命令激活，一般不会有人发现它。天窗是操作系统中可供渗透的一个缺陷，它可能是程序设计 人员预留的，也可能是操作系统生产厂家不道德的雇员装入的。（参见 Karger, P. A. and Schell, R. R.,, “Multilevel Security Evaluation: Vulnerability Analysis ”, ESD-TR-74-193, Vol. 2, 1974.）
其次,莫瑞斯蠕虫揭露 Arpanet计算机网络中的一个大漏洞。 Arpanet网络中的 Finger 程序允许用户在远处的计算机上了解近期在其它网络计算机上工作的用户的情况。莫瑞斯利 用了这一程序漏洞,窥探他冲破计算机安全机制的方法。 Finger程序的缺陷众所周知,如果 一个很长的信息发送给 Finger的话,可以使用户读取军事基地中央控制程序。剖析过莫瑞 斯蠕虫程序的计算机专家声称:莫瑞斯蠕虫程序编程技巧非凡,它巧妙地利用 Arpanet网络 的三个安全程序。 2.莫瑞斯制造蠕虫的动机 1986年美国《伪造访问设备和计算机诈骗与滥用法》所规定的定罪标准是指故意地或 有意地从事法律规定的那些行为。如果不是“有意地”便不能定罪,莫瑞斯一案争论最激烈 的地方也正在于此。在辩护总结中,莫瑞斯的辩护律师托马斯·吉多鲍尼( Thomas Guidoboni)向陪审团陈述,他承认莫瑞斯制造了病毒,并在 Internet网中传播,但莫瑞斯 不是有意地使任何计算机陷于瘫痪,并且也不是有意地去进行传播,与此同时他还尽力去限 制蠕虫的继续复制。当莫瑞斯准备检査他的程序进展时,他发现网络已经过载,不能读取监 控器,也不能中止他的程序。他马上请求在哈佛大学的朋友在 Arpanet网络上发出警报和指 示如何阻止蠕虫。虽然由于网络严重过载电子公告只有很少人收到。吉多鲍尼又讲,莫瑞斯 制造这个病毒是其进行的计算机安全方面试验的一部分。蠕虫所引起的损坏不是永久性的, 并且在设计时,莫瑞斯没有设计让病毒进行永久性的破坏。Unⅸx操作系统环境中,系统用 户具有读写被保护的数据和文件的特权,可以读写网络的其它计算机,具有通过计算机系统 读、写、删除文件的能力。莫瑞斯蠕虫通过获取系统用户的特权,传播蠕虫自身到网络中的 其它计算机中,同时也可以对数据和程序文件做更严重的破坏动作。但莫瑞斯蠕虫没有做, 用户唯一感受到的损害是计算机合法程序的处理速度显著放慢。由此可见,莫瑞斯设计蠕虫 时,似乎没有使之具有毁灭性的意图。 联邦法官霍华德·芒森( Howard munson)却指出,莫瑞斯是在他作为康涅尔大学的 名计算机科学研究生时制造出蠕虫的,并使用蠕虫袭击全美计算机的一部分。他完全了解计 算机病毒的危害性。美国司法部司法官马克·拉希( Mark rasch)说:“莫瑞斯花费了许多 时间,下了很大功夫来研究计划这次袭击,这个蠕虫被设计成尽可能多地进入他人的计算机 系统中,并以编程的方式来隐藏自己,挫败被侵袭方。” 康涅尔大学计算机系的一位研究员迪安·克拉尔( Dean Kral)证实说,他已经在莫瑞 斯所在大学中使用的计算机的姓名目录中发现了至少三个蠕虫变体。在法庭调查中克拉尔陈 诉到,在进行程序设计时,莫瑞斯将程序包含了控制复制本身速度的码。 3.莫瑞斯蠕虫造成的经济损失 在莫瑞斯受审之前,新闻媒介对莫瑞斯蠕虫造成的损失情况做了大量的夸张性的报道 某些报刊认为,受害网络是传送敏感数据和保密数据的。另有一些报刊声称蠕虫损坏了珍贵 的研究数据,其价值难以估量。技术界对此有不同的看法 美国计算机病毒协会的约翰·麦卡菲( John McAfee)报告说,蠕虫引起的损失大约为9600 万美元 哈佛大学的克利夫·斯托尔( Cliff Stohl)认为损失不超过100万美元 Purdue大学的吉恩·斯帕福德( Gene Spafford)则估计损失仅有20万美元 某些观察家注意到,大学院校受蠕虫侵害较之其它单位为重。部分机关的白班工作人员 离开之后,没有关机,蠕虫击中了他们的计算机。许多第二班的工作人员不想或不会处理紧 急事件,这是被击中的主要原因之一。网络的某些节点,在接收到有关警告信息或注意到计 算机岀现问题后,立即停止了使用。由于网络过载,运行速度减缓,很多计算机未发现异常 检查官反复强调与 Internet网连接的计算机常常从事关键性的硏究工作,而蠕虫程序却
其次，莫瑞斯蠕虫揭露 Arpanet 计算机网络中的一个大漏洞。Arpanet 网络中的 Finger 程序允许用户在远处的计算机上了解近期在其它网络计算机上工作的用户的情况。莫瑞斯利 用了这一程序漏洞，窥探他冲破计算机安全机制的方法。Finger 程序的缺陷众所周知，如果 一个很长的信息发送给 Finger 的话，可以使用户读取军事基地中央控制程序。剖析过莫瑞 斯蠕虫程序的计算机专家声称：莫瑞斯蠕虫程序编程技巧非凡，它巧妙地利用 Arpanet 网络 的三个安全程序。 2. 莫瑞斯制造蠕虫的动机 1986 年美国《伪造访问设备和计算机诈骗与滥用法》所规定的定罪标准是指故意地或 有意地从事法律规定的那些行为。如果不是“有意地”便不能定罪，莫瑞斯一案争论最激烈 的地方也正在于此。 在辩护总结中，莫瑞斯的辩护律师托马斯·吉多鲍尼（Thomas Guidoboni） 向陪审团陈述，他承认莫瑞斯制造了病毒，并在 Internet 网中传播，但莫瑞斯 不是有意地使任何计算机陷于瘫痪，并且也不是有意地去进行传播，与此同时他还尽力去限 制蠕虫的继续复制。当莫瑞斯准备检查他的程序进展时，他发现网络已经过载，不能读取监 控器，也不能中止他的程序。他马上请求在哈佛大学的朋友在 Arpanet 网络上发出警报和指 示如何阻止蠕虫。虽然由于网络严重过载电子公告只有很少人收到。吉多鲍尼又讲，莫瑞斯 制造这个病毒是其进行的计算机安全方面试验的一部分。蠕虫所引起的损坏不是永久性的， 并且在设计时，莫瑞斯没有设计让病毒进行永久性的破坏。Unix 操作系统环境中，系统用 户具有读写被保护的数据和文件的特权，可以读写网络的其它计算机，具有通过计算机系统 读、写、删除文件的能力。莫瑞斯蠕虫通过获取系统用户的特权，传播蠕虫自身到网络中的 其它计算机中，同时也可以对数据和程序文件做更严重的破坏动作。但莫瑞斯蠕虫没有做， 用户唯一感受到的损害是计算机合法程序的处理速度显著放慢。由此可见，莫瑞斯设计蠕虫 时，似乎没有使之具有毁灭性的意图。 联邦法官霍华德·芒森（Howard Munson）却指出，莫瑞斯是在他作为康涅尔大学的一 名计算机科学研究生时制造出蠕虫的，并使用蠕虫袭击全美计算机的一部分。他完全了解计 算机病毒的危害性。美国司法部司法官马克·拉希（Mark Rasch） 说：“莫瑞斯花费了许多 时间，下了很大功夫来研究计划这次袭击，这个蠕虫被设计成尽可能多地进入他人的计算机 系统中，并以编程的方式来隐藏自己，挫败被侵袭方。” 康涅尔大学计算机系的一位研究员迪安·克拉尔（Dean Krall） 证实说，他已经在莫瑞 斯所在大学中使用的计算机的姓名目录中发现了至少三个蠕虫变体。在法庭调查中克拉尔陈 诉到，在进行程序设计时，莫瑞斯将程序包含了控制复制本身速度的码。 3. 莫瑞斯蠕虫造成的经济损失 在莫瑞斯受审之前，新闻媒介对莫瑞斯蠕虫造成的损失情况做了大量的夸张性的报道。 某些报刊认为，受害网络是传送敏感数据和保密数据的。另有一些报刊声称蠕虫损坏了珍贵 的研究数据，其价值难以估量。技术界对此有不同的看法： 美国计算机病毒协会的约翰·麦卡菲（John McAfee）报告说，蠕虫引起的损失大约为 9600 万美元。 哈佛大学的克利夫·斯托尔（Cliff Stohl）认为损失不超过 100 万美元。 Purdue 大学的吉恩·斯帕福德（Gene Spafford）则估计损失仅有 20 万美元。 某些观察家注意到，大学院校受蠕虫侵害较之其它单位为重。部分机关的白班工作人员 离开之后，没有关机，蠕虫击中了他们的计算机。许多第二班的工作人员不想或不会处理紧 急事件，这是被击中的主要原因之一。网络的某些节点，在接收到有关警告信息或注意到计 算机出现问题后，立即停止了使用。由于网络过载，运行速度减缓，很多计算机未发现异常。 检查官反复强调与 Internet 网连接的计算机常常从事关键性的研究工作，而蠕虫程序却
将之阻塞几个小时以至于不能正常工作 莫瑞斯的辩护律师对此反驳说,互联网使用面极广,如交换个人信息,写爱情信和玩游 戏等,所破坏的程序并不都是非常重要的信息。 4.莫瑞斯蠕虫造成的社会后果 曾经与蠕虫日夜奋战的计算机管理人员在作证时表示了极大的愤怒:对许多学者和 研究人员来说,蠕虫是一场大灾难。它消耗了大量宝贵的工作时间,增加了额外负担,遗失 了他们的研究成果,延误了他们的研究进度。 但是,一些计算机安全专家认为,蠕虫是计算机潜在的易受攻击的最重要的证明。如果 蠕虫的袭击促使计算机主人采取积极的措施防御未来的攻击,那么,蠕虫的后果将是极为有 益的。 莫瑞斯的辩护律师认为,计算机病毒的存在是计算机本身的特性所决定的,它将随着计 算机的存在而存在,这一点是不随人们的意志而转移的。从这一意义上来说,我们应当感谢 莫瑞斯。正是他的杰出的蠕虫,使人们更深刻地认识到计算机安全的重要性,也使得人们明 白他们以往高度信任的计算机竟然是那么地不堪一击。莫瑞斯帮助人们认识到计算机系统本 身的脆弱性,这有助于计算机安全技术的发展,他非但无罪,甚至是有功的 莫瑞斯由于使 Arpanet网络崩溃而成为最著名的攻击者。他在受到法庭的审判的同时, 也受到一些人的尊崇。由于他的能力,莫瑞斯被哈佛大学 Aiken中心授予“超级用户”的特 权。计算机攻击者的双重人格被表现的淋漓至尽,一方面是国家的不可多得的人才,另一方 面又是令国家头疼的人物 蠕虫”病毒案的最后判决 根据一些资料的记载,美国法院根据《伪造访问设备和计算机诈骗与滥用法》对莫瑞斯 进行的审判主要是从以下几个方面考虑的 是否有意地、未经允许进入与联邦政府有利害关系的计算机系统中; (1)被这种有意地、未经允许所侵入的计算机至少分处在两个州 (2)由于侵入他人计算机,从而造成了总数超过1000美元的损失 (3)由于有意地、未经许可的侵入,妨碍了那些被允许使用这种计算机的用户使用 计算机。 从美国参与此案的一些法官的谈话中得知,如果对以上四种情况中的一种有合理的置 疑,陪审团应该做出免罪的决定。应当注意的是,在上述四条中,与联邦有利害关系的计算 机,不应当局限于那些被政府所拥有的或以政府名义所使用的计算机:所造成的损失,不应 当只限于某一地区的损失,只要是总体损失达到1000美元以上即可 尽管原告方与被告方争论不休,最后陪审团仍作出莫瑞斯有罪的决定。 美国法学界认为,对莫瑞斯以重罪判处证明了《伪造访问设备和计算机诈骗与滥用法》 足以能保护国家计算机系统免受病毒和其它恶意的程序的袭击:由此开创了一个先例,即表 明制造病毒的人将要承担法律责任。有罪的判决也表明在对黑客和与计算机有关的犯罪问题 上国家态度的变化,这些人不是民间传说中的英雄,他们是罪犯:在莫瑞斯的案子中,法律 诉讼已将一个“计算机奇才”变成一个罪犯,社会已不再容忍侵害他人合法权益的计算机恶 作剧了。 据我国《科技日报》1990年2月6日的报道,莫瑞斯已于190年1月21日被联邦法 庭宣判有罪,处以5年监禁和25万美元的罚款。莫瑞斯是1986年美国公布《伪造访问设备 和计算机欺骗与滥用法》以来,第一个被送上法庭的人
将之阻塞几个小时以至于不能正常工作。 莫瑞斯的辩护律师对此反驳说，互联网使用面极广，如交换个人信息，写爱情信和玩游 戏等，所破坏的程序并不都是非常重要的信息。 4. 莫瑞斯蠕虫造成的社会后果 一些曾经与蠕虫日夜奋战的计算机管理人员在作证时表示了极大的愤怒：对许多学者和 研究人员来说，蠕虫是一场大灾难。它消耗了大量宝贵的工作时间，增加了额外负担，遗失 了他们的研究成果，延误了他们的研究进度。 但是，一些计算机安全专家认为，蠕虫是计算机潜在的易受攻击的最重要的证明。如果 蠕虫的袭击促使计算机主人采取积极的措施防御未来的攻击，那么，蠕虫的后果将是极为有 益的。 莫瑞斯的辩护律师认为，计算机病毒的存在是计算机本身的特性所决定的，它将随着计 算机的存在而存在，这一点是不随人们的意志而转移的。从这一意义上来说，我们应当感谢 莫瑞斯。正是他的杰出的蠕虫，使人们更深刻地认识到计算机安全的重要性，也使得人们明 白他们以往高度信任的计算机竟然是那么地不堪一击。莫瑞斯帮助人们认识到计算机系统本 身的脆弱性，这有助于计算机安全技术的发展，他非但无罪，甚至是有功的。 莫瑞斯由于使 Arpanet 网络崩溃而成为最著名的攻击者。他在受到法庭的审判的同时， 也受到一些人的尊崇。由于他的能力，莫瑞斯被哈佛大学 Aiken 中心授予“超级用户”的特 权。计算机攻击者的双重人格被表现的淋漓至尽，一方面是国家的不可多得的人才，另一方 面又是令国家头疼的人物。 三、“蠕虫”病毒案的最后判决 根据一些资料的记载，美国法院根据《伪造访问设备和计算机诈骗与滥用法》对莫瑞斯 进行的审判主要是从以下几个方面考虑的： 是否有意地、未经允许进入与联邦政府有利害关系的计算机系统中； （1） 被这种有意地、未经允许所侵入的计算机至少分处在两个州； （2） 由于侵入他人计算机，从而造成了总数超过 1000 美元的损失； （3） 由于有意地、未经许可的侵入，妨碍了那些被允许使用这种计算机的用户使用 计算机。 从美国参与此案的一些法官的谈话中得知，如果对以上四种情况中的一种有合理的置 疑，陪审团应该做出免罪的决定。应当注意的是，在上述四条中，与联邦有利害关系的计算 机，不应当局限于那些被政府所拥有的或以政府名义所使用的计算机；所造成的损失，不应 当只限于某一地区的损失，只要是总体损失达到 1000 美元以上即可。 尽管原告方与被告方争论不休，最后陪审团仍作出莫瑞斯有罪的决定。 美国法学界认为，对莫瑞斯以重罪判处证明了《伪造访问设备和计算机诈骗与滥用法》 足以能保护国家计算机系统免受病毒和其它恶意的程序的袭击；由此开创了一个先例，即表 明制造病毒的人将要承担法律责任。有罪的判决也表明在对黑客和与计算机有关的犯罪问题 上国家态度的变化，这些人不是民间传说中的英雄，他们是罪犯；在莫瑞斯的案子中，法律 诉讼已将一个“计算机奇才”变成一个罪犯，社会已不再容忍侵害他人合法权益的计算机恶 作剧了。 据我国《科技日报》1990 年 2 月 6 日的报道，莫瑞斯已于 1990 年 1 月 21 日被联邦法 庭宣判有罪，处以 5 年监禁和 25 万美元的罚款。莫瑞斯是 1986 年美国公布《伪造访问设备 和计算机欺骗与滥用法》以来，第一个被送上法庭的人