第530章 睁眼就去做行测（47）（1/2）

请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。

防战落幕的当天上午，专案组指挥室的空气里还飘着速溶咖啡与薄荷糖混合的味道。熬了三天的民警们只轮换着眯了两三个小时，便又全部聚在了大屏前。

屏幕上，M国第二大城市科技园北区的卫星地图被放大到最大，一栋栋办公楼宇清晰可见，其中靠北侧的独栋办公楼被红圈粗略标注，那是上一轮溯源摸到的最终网络出口。

“不能高兴太早。” 魏峥指尖点了点屏幕上的办公楼，神色依旧凝重。

“这栋楼里有十七家注册公司，三层公用机房，上百台托管服务器。上次城西诱饵的教训还在，万一这只是他租的跳板机房，人根本不在里面，我们贸然提交跨境协作，最后扑空事小，打草惊蛇让他彻底跑了事大。”

会议室里瞬间安静下来。所有人都清楚，他们必须要做到百分之百精准，把人、设备、窝点完全钉死，才能启动跨境执法。一旦失手，对方大概率会彻底销毁证据、转移窝点，再想找到就难了。

杨帆站在大屏最前方，手里攥着马克笔，目光紧紧盯着卫星地图。

他心里比谁都清楚，网络出口不等于物理窝点，对方躲了这么多年，不可能就这么轻易的让他们得手。

他们之所以能摸到这栋楼，是因为对方在蜜罐里投入了太多精力，撤退时太仓促，才露出了尾巴。

“还是分两条线交叉验证。” 杨帆转过身，笔在白板上划出两条线。

“他可以换 IP、换机房、换跳板，但刻在骨子里的操作习惯改不了。我们不靠地址定位，靠他本人的‘行为指纹’定位。”

魏峥眉头微挑：“你的意思是，用这个备份习惯当身份标识？”

“对。” 杨帆点头。

“IP 可以换，服务器可以换，但肌肉记忆改不掉。我们对整栋楼的所有服务器做静默探测，不入侵、不打草惊蛇，只监测周期性加密备份流量，符合他的行为习惯，才有可能是他的设备。”

黄梓熙若有所思，她调出了硬件特征图谱。

“从最后一波攻击数据包的底层特征反推，他的主力工作站有三个独有的硬件标记。第一，主硬盘是某品牌 2018 年批次的企业级机械盘，这个批次的盘有通病，寻道延迟比其他批次高 12 毫秒，会在 IO 请求里留下固定特征。”

“第二，他自己改装了硬盘散热，导致磁盘通电温度曲线有特定的波动规律。最后对方应该是外接了一个定制硬件加密狗，每隔十八分钟会和主机做一次身份校验，数据包里有固定的微小帧间隔。”

她顿了顿，语气笃定，“这三个硬件特征叠加，重合概率不到百万分之一。”

“IP 可以伪装，服务器可以租用，但这台他用了十几年的主力工作站，他不会换。在这栋楼里具有他的行为习惯，同时符合三个硬件特征的设备，我们就能进一步锁定他。”

一软一硬两套验证标准，像两把精准的卡尺，把模糊的范围一点点卡实。

魏峥听完立刻拍板：“就这么办。技术组全员上阵，分两组同步推进，静默监测，绝对不能惊动对方。我去跟林厅长汇报，申请国际刑警组织的协助，调取当地运营商的底层流量数据，配合我们定位。”

命令下达，所有人立刻行动起来。没有人抱怨熬了三天的疲惫。接下来的三十六个小时，整个专案组进入了静默监测状态。

杨帆带着软件组，通过国际刑警协调来的运营商流量镜像，对整栋办公楼的所有出口 IP 做全量流量分析。他们不碰系统、不做探测，只蹲守流量特征，像潜伏在草丛里的猎手，一动不动地等着猎物自己露出马脚。

为了确保准确，杨帆把近五年所有涉案案件的备份时间点全部列了出来，做成了一张节律表。

另一边，黄梓熙带着硬件组，逐 IP 比对硬盘 IO 特征、温度曲线、加密狗校验帧。整栋楼一百二十七台在线服务器，一台一台过筛子，不符合的立刻排除。

第一天下来，筛掉了一百一十多台，剩下十二台服务器有部分特征吻合，但没有一台三项全中。

“不对。” 黄梓熙盯着剩下的十二组数据，眉头紧锁。

“他不会把主力工作站直接挂在公网上。一定是做了内网代理，公网 IP 对应的只是网关，真实工作站藏在内网里，硬件特征经过转发有损耗，所以看起来都像一点，但又不全中。”

这个判断立刻点醒了众人。对方如此谨慎，怎么可能把自己的主力电脑直接暴露在公网 IP 上。必然是租用了整层或整间办公室，搭建了内部局域网，所有对外流量都通过网关转发，真实设备藏在局域网深处。

这样一来，靠公网流量只能锁定到楼层或公司，无法精准到具体设备。

“那就逼他动一下。” 杨帆听完汇报，思索了片刻，忽然开口。

“他现在肯定还在复盘蜜罐的事，对于国内他布下的棋子是否全部落网应该还没有确认。我会给他递个假消息，就说国内警方只查到了境外代理节点，正在和当地运营商交涉，还没摸到具体位置。”

“风险会不会太大？” 有人担心。

“万一他察觉到是圈套，直接跑路怎么办？”

“不会。” 杨帆摇头。

“他在蜜罐里栽了跟头，以他的性格，绝不会甘心就这么跑了。”

本章未完，点击下一页继续阅读。