# 什么是专门用于侵入、非法控制的程序工具 律所: 上海昌辰律师事务所 作者: 马原 专业定位: 刑事律师 · 专注计算机信息网络犯罪 栏目: 技术刑事观点 发布日期: 2026-11-04T08:13:28+08:00 更新时间: 2026-11-04T08:13:28+08:00 适用法域: 中国大陆 核对截止日: 2026-11-04 原始来源标题: 马原律师原创 法律依据: 与本文主题相关的现行法律法规及司法解释（以正文引用和核验记录为准） 事实与法律核验时间: 2026-11-04T00:00:00+08:00 核验人: 马原律师|专注计算机犯罪 ## 核心结论 一款软件被办案机关称为黑客工具以后，家属往往觉得案件已经没有多少解释空间。程序员也可能走到另一个方向，强调代码能正常运行、使用的是通用语言，或者市场上有类似工具，希望据此说明软件合法。 ## 正文 计算机犯罪第一季　第8篇 一款软件被办案机关称为黑客工具以后，家属往往觉得案件已经没有多少解释空间。程序员也可能走到另一个方向，强调代码能正常运行、使用的是通用语言，或者市场上有类似工具，希望据此说明软件合法。 刑法判断没有这么省事。第二百八十五条第三款设置了两条入罪路径。一条看程序工具本身是否具有专门属性，另一条看提供者是否明知他人正在实施侵入、非法控制系统的违法犯罪行为。程序功能、使用场景和人的认识，需要分开审查。 第一条路径先看程序本身 2011年司法解释第二条列出了专门程序工具的范围。程序能够避开或突破计算机信息系统安全保护措施，未经授权或超越授权获取数据，能够用同样方式对系统实施控制，或者专门设计用于侵入、控制和非法获取数据，都可能被认定为专门工具。 这里有三个相连的事实。系统原来设置了什么安全保护，程序怎样避开或突破，突破以后取得了什么数据或控制能力。鉴定意见只写具有侵入性，没有说明这三步，结论还需要展开。 安全保护不只指防火墙和密码。身份认证、验证码、设备校验、访问令牌、频率限制和权限控制，都可能属于系统用来阻止未授权访问的措施。平台的普通业务规则是否属于刑法意义上的安全保护，要看它实际发挥的功能。 程序请求速度更快，未必说明它突破保护。程序伪造签名、绕过验证或自动更换网络地址对抗封禁，证明力会明显增加。每项功能都要在涉案版本中存在，并在相应环境下能够运行。 检例第68号展示了专门用途怎样形成 小黄伞案中，软件专门针对某电商平台账号撞库。它把账号密码批量提交，自动切换网络地址，抓取验证码图片交给打码平台，登录成功后获取账号信息。 最高检指导案例强调软件用途单一，目标平台明确，自动拨号和打码功能用于避开安全防护，成功登录后继续抓取数据。办案机关还把源代码中的设备标识、用户电脑中的账号文件、平台登录记录和文件生成时间相互核对。 法院最终认定软件提供者构成提供侵入计算机信息系统程序罪，使用者构成非法获取计算机信息系统数据罪。程序提供端与使用端的罪名分开，说明同一软件链条上不同角色需要按照各自行为评价。 这个案例常被引用，不能只记住用途单一四个字。司法解释没有把单一用途写成唯一标准。多功能程序也可能包含专门设计的侵入模块，普通工具也可能在提供者明知的情况下进入第二条路径。用途结构只是判断程序属性的重要事实。 丁某案说明商业获客程序也要看技术功能 人民法院案例库收录的丁某提供侵入计算机信息系统程序案，围绕一款用于批量获取平台信息的程序展开。法院依据程序避开安全保护、未经授权获取系统数据的功能，认定属于刑法规定的专门程序。 这类案件常披着营销、获客、采集和自动化的外衣。商业目的本身不能决定程序属性。程序从公开页面整理信息，与伪造身份请求未公开接口，技术路径不同。客户愿意付费，也不能把平台未授权的数据访问变成合法。 法院审查会看软件面向谁销售，宣传演示什么，交付后怎样配置，客户实际取得何种信息。宣传语可以证明制作目的和提供者认识，仍需程序功能和运行记录支持。 如果软件销售页面只写提高效率，私下培训却教客户导入他人凭证、绕过验证，案卷应当把公开宣传和真实售后同时呈现。只取对一方有利的一页截图，不能完整说明产品用途。 中性工具也可能进入第二条路径 远程控制软件、网络扫描器、代理服务和自动化框架都有合法用途。刑法第三款仍规定，明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而提供程序工具，达到情节严重，也要处罚。 这条路径不要求工具只能犯罪使用。证明重点移到提供者知道什么。客户有没有明确说明用途，售后反馈了哪些异常，提供者是否帮助配置攻击目标，收款方式和价格是否异常，发现风险后是否继续服务，都可能成为证据。 明知不能由职业身份直接推定。程序员懂技术，不能推出他知道客户犯罪。客户把需求包装成压力测试，开发者只接触接口文档，也不能用后来发生的攻击倒推早先认识。 认识会随项目推进变化。最初需求可能正常，后来客户要求隐藏进程、批量更换设备标识、抓取他人验证码。开发者在这个节点拒绝并退出，与继续修改、收取高额报酬，责任基础不同。聊天时间线在这类案件里很重要。 涉案版本是功能认定的起点 软件每天都可能更新。侦查机关从开发者电脑提取的最新源码，客户案发时使用的安装包，服务器保留的旧版本，功能可能不同。 鉴定应当说明检材来源和哈希值，标明版本号、编译时间和运行环境。指控期间横跨一年，至少要核对关键功能在哪个版本加入，哪些客户收到了该版本。 代码仓库的提交记录可以帮助还原变化。提交记录也可能被改写，仍要与安装包、发布日志、聊天和服务器文件交叉验证。只因源码中存在一段函数，就认定所有销售版本都具备该功能，容易把开发中的试验代码算入。 程序需要外部脚本、账号库或服务器配合时，完整工具链要一并检查。单个客户端没有侵入能力，客户另行购买模块后才实现，开发者是否提供或明知这些模块，影响责任认定。 动态测试最怕测试人员替程序完成关键动作 运行涉案软件能够直观展示功能。测试过程仍要严格区分程序自动完成和测试人员手动完成的步骤。 测试人员输入一个有效管理员账号，程序成功进入后台，说明程序能使用凭证登录，不能证明它能破解或绕过身份认证。测试前关闭平台风控，程序批量获取数据，也不能说明它在真实环境中能够突破保护。 服务器地址、账号、令牌和验证码由谁提供，应当写进笔录。程序是否连接原目标系统，还是连接模拟服务器，也要说明。真实系统已经更新，模拟环境只能证明代码在设定条件下的表现。 动态测试最好保留完整录像、网络流量和输出文件。展示给法庭的剪辑片段方便理解，原始记录负责保证过程可以复核。 合法功能占比不是简单数学题 有人会计算软件有多少正常模块、多少异常模块，认为合法功能占比高就不能认定专门工具。司法解释关注的是程序是否具有专门设计的侵入、非法控制和获取数据功能，判断不会变成代码行数投票。 一个大型运维平台包含上百项正常功能，其中隐藏模块专门窃取用户凭证。隐藏模块虽然代码少，目的和效果都很明确。反过来，一款扫描工具大部分功能用于发现漏洞，安全测试本来就需要模拟攻击，不能因为功能强大直接认定犯罪工具。 更有意义的事实包括默认配置、目标选择、用户群体、说明文档、销售话术和合法客户案例。软件是否能在得到授权时正常使用，是否对未经授权目标作限制，发现滥用后有没有停止服务，也能说明产品定位。 安全工具的开发和研究受到法律保护。研究者需要保持授权范围、测试记录和漏洞披露程序。公开发布概念验证代码时，应评估是否包含可直接批量利用的功能，是否同步提供修复信息，传播对象和方式会不会放大现实风险。 开源组件和现成服务不会自动切断责任 涉案软件经常调用开源代码、云端接口和第三方服务。开发者会说验证码识别来自公开接口，代理切换使用的是正常网络服务，扫描模块从开源仓库下载，因此自己没有制作侵入工具。组件来源可以说明开发过程，不能替代对组合后功能的判断。 一把螺丝刀原本用途正常，被装进一套专门撬锁的设备后，法庭关注的是整套程序怎样工作。开发者把账号导入、代理切换、验证码识别和数据导出串成自动流程，默认目标又指向特定平台，组合关系本身能够反映设计目的。开源许可证允许复制代码，也不会授予访问他人系统的权限。 另一种情形是开发者只提供一项通用接口。客户自行决定目标、准备账号并编排流程，接口提供者从未接触具体任务。此时需要重点审查服务者是否知道客户用途，是否为绕过目标平台保护作过定制，收到异常通知后有没有继续支持。不能只因服务最终出现在犯罪链条里，就把上游所有技术提供者都归为共同犯罪。 云端服务还会带来版本和控制权问题。客户端看起来只有一个按钮，关键逻辑全部在服务端更新。案发时服务端运行哪一版，谁能修改规则，客户是否能够自行选择模块，都要通过部署记录、镜像文件和后台权限还原。只鉴定后来扣押的客户端，可能看不到真正决定功能的部分。 第三方接口的返回记录也有证明价值。调用量、调用时间和请求参数可以印证程序怎样使用服务，却要先核实账户归属和日志留存规则。服务商汇总出的一张月度账单，通常不足以证明每一次调用都与涉案目标有关。 把组件逐个拆开，再把组合后的流程重新拼回去，才能同时避免两种偏差。正常技术不能因为被滥用就一律犯罪化，专门设计的完整工具也不能靠每个零件单独合法而获得免责。 提供行为不只包括出售 提供可以表现为出售、出租、免费发送、共享下载、部署到服务器，也可能通过远程接口让客户调用。有没有签合同、有没有收钱，不决定提供行为是否存在。 违法所得五千元以上是情节严重标准之一，没有获利时仍可能按提供人次等标准入罪。普通类型专门程序工具提供二十人次以上，或者明知他人实施相关违法犯罪仍提供二十人次以上，可能达到严重标准。金融身份认证类工具的人次标准为五人次。 人次按照接受工具的人计算，不宜直接用卡密、订单和付款笔数替代。一个客户续费十次，通常仍需核对是否属于同一接受者。代理商把一批卡密分发给下游，开发者是否对每名最终用户构成提供，也要结合交付控制和主观认识。 免费试用账号、内部测试账号和退款未使用账号，应当逐项查。后台导出表只是统计起点。聊天、登录、激活和付款可以帮助确认真实提供。 销售收入与违法所得需要区分 程序工具案件常用收款总额证明违法所得。账户里可能同时有普通开发费、服务器代付款、员工往来和其他产品收入。每笔款项要与涉案工具交付对应。 违法所得如何扣除成本，在不同案件中会有争议。检例第68号庭审中，辩护人提出应扣除支付给码工的钱款。公开指导案例着重展示案件定性，没有提供可以适用于所有案件的统一成本公式。 审查时可以先做交易明细。付款人、金额、时间、聊天对象、购买版本和退款情况逐笔对应。无法确认的收入不能只因进入同一账户就全部计入。 违法所得已达到标准，提供人次仍有核对价值。数量和数额还会影响情节特别严重、主从犯和量刑，不能因为一项标准过线就停止审查其他统计。 开发者、代理商和售后的认识各不相同 产品负责人决定功能和销售方向，核心开发者了解代码，代理商接触客户，售后解决安装运行问题。四类角色看到的事实不一样。 开发者只完成界面，没有接触请求模块，是否知道侵入功能，需要看需求文档、代码权限和测试参与。代理商不懂源代码，却反复向客户演示绕过验证和数据抓取，也可能充分认识用途。 售后帮助客户安装普通环境，与指导客户关闭安全软件、导入账号库和切换代理地址，责任差异很大。工资固定或提成可以影响获利和作用判断，不能独立决定从犯。 每个人都需要一条自己的证据链。团队聊天里的信息是否真正送达，文件权限能否访问，会议是否参加，异常反馈是否处理。把公司的认识当成所有员工的认识，会掩盖个人责任边界。 鉴定结论仍然要接受法律评价 鉴定人可以说明程序具备哪些功能，怎样发送请求，是否能绕过某项保护。专门用于属于刑法规范中的评价，司法机关要结合技术事实、设计目的和使用场景判断。 司法解释规定，是否属于专门程序工具难以确定时，应委托省级以上负责计算机信息系统安全保护管理工作的部门检验。司法机关根据检验结论和案件情况认定。这里同样保留了法院的判断责任。 检验结论与动态测试、源代码、销售宣传矛盾时，需要解释。报告认定程序只能用于侵入，案卷却有大量经授权安全测试项目，结论基础可能不完整。程序宣传合法，运行事实持续突破安全保护，也不能只靠宣传排除。 一份有用的辩护意见会把版本、功能、保护措施、客户和人员分开。它不急着给软件贴合法或非法的总标签，而是让每个法律结论都能回到一段代码、一次请求、一名客户和一条聊天。 参考资料 - 危害计算机信息系统安全刑事案件司法解释 - 检例第68号 - 丁某提供侵入计算机信息系统程序案 - 网络犯罪案件检察办理规定 - 刑事案件电子数据规定 阅读提示 本文只作一般法律知识交流。程序工具属性应结合涉案版本、功能、授权环境、提供对象和行为人认识判断，不能仅凭软件名称或一次测试得出结论。 原文: https://itcriminal.com/articles/article-b46d665988c2-jvjyb0 边界: 本文仅供一般信息参考，不构成针对任何人的正式法律意见。