我参加了这次黑客大会，我得到的只是你硬盘上的所有数据

现在是拉斯维加斯的七月，正午无情的沙漠阳光已经将室外温度推高至三位数。但在亚历克西斯公园度假村内，这里凉爽而黑暗。酒吧开门营业，房间里开始挤满了人。现在是下午 1 点，大型比赛刚刚开始，正如你在世界体育博彩中心所预料的那样，房间里数十块屏幕的灯光闪耀着光芒，捕捉着比赛的每一个细微动作。

但这些不是电视屏幕，而是笔记本电脑。而那些盯着屏幕、忙着敲击键盘的各色人等并不是想在最后一刻获得游戏情报的赌徒，他们是黑客——这就是游戏。

欢迎来到 Def Con，它自称是“世界上最大的地下黑客活动”。

这个说法很难证实，因为此类聚会的参与者和组织者非常看重隐私，但毫无疑问，自从 21 岁的黑客“The Dark Tangent”（又名 Jeff Moss）决定发起这项活动，以结识一群只在网上认识的朋友以来，Def Con 在 12 年里人气飙升。1993 年，大约有 100 位朋友响应了他的号召，参加了第一届 Def Con 大会；在 2004 年的 Def Con 大会上，4,000 张预印入场徽章全部提前售罄。要获得一张徽章，您只需手持 80 美元现金出现在门口即可。
无需预先登记、无需姓名、无需提问。

那么，Dark Tangent 的地下朋友大军用这 80 美元得到了什么呢？他们将参加为期三天的活动，内容丰富，包括各种小组演讲，从最新的安全研究到破解汽车的技巧。他们有机会在一系列比赛中测试自己，包括 War Driving（一种寻找拉斯维加斯不受保护的无线接入点的寻宝游戏）、Wi-Fi Shootout（一种在沙漠中建立长距离无线连接的比赛）和 Spot the Fed（一种奖励 T 恤的游戏，奖励那些在人群中成功识别政府特工的人）——更不用说神圣的年度咖啡冲泡挑战赛（这些家伙对他们的咖啡很认真）。他们还可以选择三个游泳池，其中至少一个保证随时举办酒会，还有 DJ。

但是，Def Con 的标志性活动，也就是其他一切围绕其运转的太阳，却是一个刚刚在这个略显破败的宴会厅里开始的游戏：电子版的“夺旗赛”。八支黑客精英团队从参加早先资格赛的 21 支队伍中脱颖而出，每支队伍占据一组会议桌，会议桌环绕着一个九英尺高的计分中心，每组桌子上都摆放着笔记本电脑和团队服务器，或“游戏机”。就像我们在夏令营里玩的游戏一样，这里的目标是夺取对手的旗帜，同时保护自己的旗帜——但这些“旗帜”除了服务器内的虚拟世界外，并不存在。

Def Con 的夺旗赛是黑客界的超级碗，不过必须说，一屋子面色苍白、身着黑衣的极客们不停地打字，并堆积着空的红牛饮料，这完全让人想起了橄榄球场上的激烈对抗。另一方面，说到耐力，你必须承认聚集在这个房间里的运动员们的体力。足球巨星只需要在比赛中保持最佳状态大约四个小时。而这里的人们将在接下来的 33 个小时里盯着这些笔记本电脑屏幕。

随着比赛的进行，房间里的气氛变得紧张起来。尽管过去八年来，夺旗赛每年夏天都在拉斯维加斯举行，但选手们在到达现场之前永远不知道自己将要面对什么。大约一小时前，组织者——一个位于西雅图的团体，名为 Ghetto Hackers，该团体在连续三年夺冠后于 2002 年接管了比赛——发放了 CD 和模拟企业间谍活动的场景说明。（或者，按照规则，是盗窃。）这些队伍代表银行，他们争夺的是“代币”而不是旗帜。一个自动程序每小时大约 10 次将代币（一小段代码）放到每个队伍的游戏服务器上。代币代表有价值的数据，在现实世界中，这些数据是被仔细检查或窃取的诱人目标。

无论哪支队伍在明晚之前成为赢家，他们都会获得一套令人垂涎的黑色 Def Con 徽章，这枚徽章可以让你终身免费参加 Con（并享有一年的炫耀权利）。不过，可能更重要的是，每个参赛者都将接受现实考验，以检验自己的安全技能。游戏设计得尽可能逼真——让参赛者攻击和防御真实公司在线使用的服务。Ghetto Hackers 知道真正的安全问题是什么样子；他们中的大多数人都以解决这些问题为生。

和我坐在一起的大多数人也都喜欢这个名字，他们是一支名叫 Bacon 的队伍的成员，这支队伍的名字取自 12 名队友唯一能想到的、他们都喜欢的东西。如果拉斯维加斯大道上的赌徒要为今年的比赛下注，Bacon 显然是夺冠热门。两年前，我在距离我们现在坐的地方约 20 英尺的一张桌子旁遇到了 John Viega，他是这个队伍中最接近领袖的人。当时，他和许多 Bacon 的现任队员都属于一支名叫 Immunix 的队伍（以一家 Linux 安全公司命名），这支队伍最终以微弱优势获得了第二名。Viega 的大多数队友都在一家名为 Secure Software 的初创公司工作或曾为他工作过，不过他们还有两名来自 Cox Communications 的人、一名来自英特尔的人、一名来自 AOL 的人，还有一名家伙，他整个周末都在和我聊天，但拒绝告诉我他的名字和工作地点。

如果说，从总体上看，这群黑客大会的参与者似乎相当成熟，那是因为这是 2004 年。20 世纪 80 年代和 90 年代的青少年已经长大。他们的幽默感和态度依然存在——此刻，我正在看着笔记本电脑上的贴纸，上面写着“我的另一台机器是你的 Linux 机器”——但有资格参加夺旗赛的人并不是孩子。

以 Viega 为例：他 30 岁，是两个孩子的父亲。他编写了一些重要的开源软件（包括一个名为 Mailman 的程序，如果您属于电子邮件列表服务，您可以使用它）。他曾在大学教授课程，出版过三本关于编写安全代码的书，并于 2001 年创立了自己的公司，目前该公司拥有 31 名员工，他是首席技术官。会议前一周，他非常忙，以至于没有预订酒店。不过，如果他不睡觉，他就不需要房间了。

维加俯身趴在桌子上，急切而安静地试图制定游戏计划。培根队的玩家正在将游戏服务器中的应用程序下载到笔记本电脑上，并开始分析它们。贫民窟黑客编写的应用程序（并修改了一些现成的应用程序）容易受到熟练黑客的攻击。培根队希望撬开这些锁，潜入其他队伍的服务器，窃取他们宝贵的令牌。

很快，努力就得到了回报。下午 4 点左右，播音员在公共广播系统中播报：“我们要向 Bacon 致敬：他是本场比赛的第一滴血。” Viega 已经入侵了五支球队的系统。不过，其他球队仍然有充足的时间赶上。比赛还要 30 个小时才会结束。

许多人（包括黑客）都试图将黑客社区划分为两个截然不同的阵营：“黑帽”会寻找漏洞，然后加以利用，甚至可能窃取数据或传播病毒；“白帽”会寻找漏洞，然后趁黑帽发现之前将其堵住。现实往往更加模糊，但大会上一直都有来自两个阵营的黑客。（夺旗赛的吸引力之一就是，即使是最纯粹的白帽也会在周末当坏人。）

随着人们在日常生活中越来越依赖电子数据交换，两类黑客的机会也越来越多。前国家安全局首席科学家罗伯特·莫里斯在 Def Con 小组会议上警告说，即使是像 ATM 收据这样简单的东西也可能让你容易受到攻击。“不要把它留在 ATM 机上，”他说。“不要把它扔在人行道上。我现在不讨论问题是什么——你们中的一些人已经知道了——但如果你把它留在 ATM 机上，你会损失很多钱。”

无线通信的日益普及为电子入侵开辟了更多途径。在另一个小组讨论会上，Shmoo Group（一个由安全极客组成的松散组织，其中包括几位 Bacon 玩家）的成员展示了一款程序，该程序可让某人劫持互联网热点的所有流量。他们还展示了一款小型“黑客机器人”，该机器人可以找到不安全的 Wi-Fi 用户，并在大屏幕上显示他们的密码。周末晚些时候，三名从俄亥俄州来到 Def Con 的青少年描述了他们如何开车在辛辛那提四处寻找不安全的无线互联网连接，然后敲门询问里面的人是否想修复他们的连接。“他们有点惊慌失措，所以我们想用我们刚买的所有设备做点什么，”Ben Corrado 说，他解释了是什么促使他们参加 Def Con，他们在沙漠中建立了 55.1 英里的无线连接，赢得了 Wi-Fi Shootout。

对于外行来说，玩夺旗游戏的人似乎只是坐在笔记本电脑前。他们大部分时间都在研究一行又一行的计算机代码，想办法破解它，并编写几行代码来试验一个想法。大多数时候，它都行不通。

每隔几分钟，Ghetto Hackers 就会在墙上放一段视频来打破单调。其中很多都是典型的发育停滞的画面：穿着暴露的女性使用震动很大的电动工具，诸如此类。与此同时，在酒吧那边，一些与会者投射出一面“耻辱墙”，列出了那些愚蠢到在未加密的情况下在大会无线网络上恶搞的与会者的用户名和密码前几个字符。

今年的比赛中，多用户域（MUD）是其中的一个应用，这可能是为了表彰这些家伙一生中花在网络上的时间。MUD 是基于文本的多用户在线游戏，玩家可以远程登录。这种游戏自 80 年代就已出现；极客们会认出它们是无尽的任务等游戏的前身。MUD 与聊天室并无太大区别，人们在 MUD 中聚会已有数十年。每个团队都必须运行一个 MUD，并让其他团队的玩家登录。

一开始，维加就发现了 MUD 访问控制的弱点，这些规则应该限制他能做的事情。很快，他就获得了“巫师”特权，这使他能够做普通用户无法做的事情，比如编写代码，让他可以窃取一些令牌。

下午渐渐进入傍晚，培根的桌子上堆满了空薯片袋和酒瓶。维加和同伴们已经喝光了一瓶杰克丹尼和一瓶百利甜酒，还有一升野火鸡正在路上。

晚上 8 点左右，一名贫民窟黑客走过来与 Viega 交谈。他问道：“你提交了自己的令牌，对吧？”

“你是什么意思？”维加回答道，他假装了好几分钟，但最终他的笑容暴露了他。为了得分，玩家将他们偷来的代币提交给计分服务器。培根玩家 Pravir Chandra 是一名开朗的男子，身穿夏威夷印花衬衫，为 AOL 做安全工作，他注意到似乎没有什么可以阻止团队提交自己的代币，所以培根也试了一下。毕竟，这个游戏是关于黑客的。作弊是被鼓励的。组织者向他们表示祝贺，然后回去修复漏洞。

但此时，其他队伍也开始得分。很快，一支名为 Sk3wl of Root 的队伍就超越了 Bacon，夺得了领先地位。（Sk3wl 在黑客术语中是“学校”的意思，拥有 Unix 计算机的 root 权限可以让你做任何事情；该队伍由海军研究生院的网络安全研究生组成。）后来，Viega 站起来伸伸腿，走到 Sk3wl of Root 的桌子前打招呼。对许多人来说，Con 提供了一个与通常只能在网络空间遇到的朋友聚会的机会。

由于在创业公司工作时间过长，再加上照顾一个年轻家庭的需要，维加来到拉斯维加斯时压力很大。不知何故，整夜玩游戏似乎是一种有效的解药；随着游戏的进行，他变得越来越放松，并安顿下来。另外两名玩家似乎和维加一样坐在椅子上，但其他人则溜出去参加泳池派对或小睡一会儿。

凌晨 2 点前，Viega 抱怨 Bacon 的一些服务没有锁定。与一些有明确领导和职责分工的团队不同，Bacon 只是一群聪明的朋友，他们在资格赛中聚在一起，然后又在拉斯维加斯聚会。他们各自承担自己认为的任务，大多数玩家对进攻比防守更感兴趣。当然，这种临时策略存在风险，在 Viega 评论后约一小时，Bacon 系统的非锁定性质得到了证实。“我们被控制了，”Viega 抱怨道。“PHP 界面的标题是“Sk3wled by Root。”

当大多数人想到黑客时，他们想到的可能是“被控制”——即外部人员控制了某个系统。PHP 是一种用于生成网页的脚本语言，在这种情况下，Root 的 Sk3wl 使用它留下了一条消息，让 Bacon 知道谁是负责人。但黑客也可以是一种隐秘的活动；攻击者通常希望不被抓住。

团队必须运行的许多应用程序都是服务。我们大多数人每天都会不假思索地使用此类服务​​——这些程序允许我们访问保存在远程计算机上的电子邮件和其他信息。如果这些程序受到攻击，后果可能很严重。

大多数企业不会公开他们的安全问题，因此很难发现这些问题有多普遍。但根据美国特勤局、CSO 杂志和卡内基梅隆大学政府资助的安全中心 CERT 去年对企业的调查，500 名受访者中有 125 名承认他们的公司因电子犯罪而遭受经济损失。CERT 发布的另一份报告证实了黑客多年来所知道的事实，即“供应商继续生产存在漏洞的软件，包括那些很容易预防的漏洞。”每年，主要软件产品中都会发现数千个漏洞，其中许多漏洞是由参加 Def Con 的人发现的。

夺旗游戏就像一个实验室——在 Def Con 上，而且越来越多地在其他地方使用。在拉斯维加斯首次举行夺旗游戏时，美国国家安全局的一名员工告诉杰夫·莫斯，该机构计划在内部使用该游戏。如今，政府和学术界使用夺旗游戏的多个版本进行培训。加州大学圣巴巴拉分校教授乔瓦尼·维尼亚 (Giovanni Vigna) 解释说：“在安全方面，细节决定成败。除非你亲自体验，否则你无法真正了解它。”

课堂游戏体验和更严格的领导可能有助于解释为什么这两支围绕研究生项目组建的队伍能够在今年的比赛中取得领先。到上午 9 点，Bacon 已经跌至第四名。尽管如此，球员们仍然保持着几乎可怕的专注力，两个小时后仍然没有吃早餐的迹象，更不用说午餐了。该队在接下来的几个小时里取得了一些成绩 - 但还不足以赶上。Root 的 Sk3wl 和一支名为 Enemy Combatants 的队伍为冠军而战。到了下午，很明显 Viega 和他的团队已经不可能获胜了。但他们不会轻易放弃。

21 岁的马丁·默里是少数几个拥有 Windows 笔记本电脑的培根牌手之一。他漫不经心地穿过房间，跳过了将计分塔与主楼层分隔开的桌子。在众人面前，他走到投影仪前，拔下计分系统的电源插头，然后插上笔记本电脑。

突然间，分数消失了，取而代之的是 Windows 用户熟悉的令人不快的蓝色阴影。屏幕上看起来像是一条很长的错误消息，但在靠近顶部的地方，你很容易就能看到“培根……拥有……贫民窟”的字样。

场内响起热烈的欢呼声。扬声器里传来一个声音：“仅供参考，如果有人看到刚刚发生的事情，那一定是有人拥有投影仪连接，仅此而已。”分数再次显示出来，Root 的 Sk3wl 领先，并将一直保持到终点线。对于 Bacon 来说，比赛结束了。

罗宾·梅希亚 (Robin Mejia) 是加利福尼亚州圣克鲁斯市的一名自由撰稿人。