這群白帽黑客是網(wǎng)絡(luò)世界的守夜人這是在網(wǎng)絡(luò)世界聰明的頭腦之間關(guān)于智慧、毅力、勇氣的戰(zhàn)斗。一方是堅(jiān)固的盾一方是銳利的矛。數(shù)以億計(jì)的代碼中他們尋找著一絲破綻難度堪比大海撈針。一絲破綻令多少人趨之若鶩又讓多少人奮不顧身。但每一個(gè)接受采訪的人都說(shuō)起了兩個(gè)詞熱愛(ài)與追求。信息安全白帽黑客……明明它與每個(gè)人都息息相關(guān)卻從不被普通人了解。但戰(zhàn)斗往往就這么悄無(wú)聲息地打響了。故事是從一場(chǎng)比賽開(kāi)始的。2020年11月成都天氣微涼天府之國(guó)染上秋黃從全國(guó)各地趕來(lái)的信息安全工程師擠滿了西博城的會(huì)議大廳。來(lái)成都前螞蟻安全光年實(shí)驗(yàn)室的負(fù)責(zé)人曲和發(fā)了條朋友圈又一趟成都之行。配圖是一張“巴斯光年”動(dòng)漫形象實(shí)驗(yàn)室名字的靈感來(lái)源。這是曲和第三次參加“天府杯”國(guó)際網(wǎng)絡(luò)安全大賽了。2018年光年實(shí)驗(yàn)室成立第三年他和伙伴就在首屆“天府杯”上依靠找出多款國(guó)產(chǎn)手機(jī)的安全漏洞讓實(shí)驗(yàn)室初露鋒芒。又是一年他期待團(tuán)隊(duì)有更大飛躍。飛機(jī)落地的那一刻他既忐忑又興奮。天府杯是具有世界級(jí)水準(zhǔn)的互聯(lián)網(wǎng)安全大賽號(hào)稱中國(guó)自己的“Pwn2Own”全世界最著名、獎(jiǎng)金最豐厚的黑客大賽。每一年中國(guó)的頭部互聯(lián)網(wǎng)公司、信息安全公司、中科院等科研機(jī)構(gòu)都有多支隊(duì)伍參賽如同一場(chǎng)互聯(lián)網(wǎng)安全領(lǐng)域的奧林匹克比賽。大賽設(shè)置了高達(dá)100萬(wàn)美元約660萬(wàn)人民幣的獎(jiǎng)金其中90%的獎(jiǎng)金都用于尋找產(chǎn)品漏洞的破解賽。這無(wú)疑是一種更互聯(lián)網(wǎng)的方式廣納集體的智慧來(lái)尋找系統(tǒng)或應(yīng)用相關(guān)的漏洞更好地保障互聯(lián)網(wǎng)安全。那些我們熟悉的設(shè)備或是常用的軟件賽場(chǎng)之上都會(huì)被一一公開(kāi)演示破解。隨后破解使用的漏洞和攻擊代碼都會(huì)直接提交給廠商幫助修復(fù)產(chǎn)品。這場(chǎng)比賽并非為了單純的炫技找到的潛藏漏洞越多就意味危險(xiǎn)越少系統(tǒng)也能更安全。11月7日天府杯拉開(kāi)序幕。光年實(shí)驗(yàn)室的首個(gè)項(xiàng)目是尋找蘋(píng)果Safari瀏覽器的安全漏洞。Safari瀏覽器的安全等級(jí)極高行業(yè)內(nèi)一直鮮有人能發(fā)現(xiàn)它的嚴(yán)重漏洞。因此當(dāng)光年實(shí)驗(yàn)室的棧長(zhǎng)跟劉龍出現(xiàn)在比賽臺(tái)上時(shí)他們身上很快匯集了全場(chǎng)目光。兩個(gè)月的準(zhǔn)備決定勝負(fù)的只有幾秒鐘如同一場(chǎng)劍客的對(duì)決。他們走上舞臺(tái)打開(kāi)電腦用Safari瀏覽器點(diǎn)開(kāi)那條準(zhǔn)備好的鏈接。一切快到很多人反應(yīng)不過(guò)來(lái)而遠(yuǎn)程的操作者已經(jīng)可以操控電腦現(xiàn)場(chǎng)響起熱烈的掌聲曲和一直懸著的心也稍微放了下來(lái)。很多人露出驚訝的表情但更大的挑戰(zhàn)還在后面。第二天光年實(shí)驗(yàn)室的菜絲登場(chǎng)。他的目標(biāo)是蘋(píng)果iPhone 11 pro的漏洞。這個(gè)90后想達(dá)到的效果是用手機(jī)瀏覽器打開(kāi)一條準(zhǔn)備好的鏈接就能實(shí)現(xiàn)iPhone手機(jī)遠(yuǎn)程代碼執(zhí)行。登場(chǎng)前即便有十足的把握但菜絲仍十分緊張。第一次嘗試他們失敗了原因是當(dāng)時(shí)場(chǎng)館內(nèi)的無(wú)線網(wǎng)絡(luò)并沒(méi)有連接公網(wǎng)。一個(gè)小插曲卻讓整個(gè)團(tuán)隊(duì)都一身冷汗。稍作調(diào)整后菜絲重新嘗試數(shù)秒的時(shí)間這部iPhone手機(jī)的大部分權(quán)限便已被控制全場(chǎng)一陣驚呼。據(jù)曲和介紹這是個(gè)“骨灰級(jí)”的漏洞在11年前的蘋(píng)果系統(tǒng)就已存在可以說(shuō) “從喬布斯傳到了庫(kù)克”。這一天卻被這個(gè)年輕的團(tuán)隊(duì)所發(fā)現(xiàn)。這一操作讓光年實(shí)驗(yàn)室拿下全場(chǎng)最具價(jià)值產(chǎn)品突破獎(jiǎng)這是本屆比賽含金量最高、獎(jiǎng)金最多的項(xiàng)目獎(jiǎng)金高達(dá)18萬(wàn)美元。幾秒鐘的高光時(shí)刻背后是長(zhǎng)達(dá)數(shù)年的默默積累。菜絲右對(duì)于曲和、菜絲等人來(lái)說(shuō)他們有一個(gè)更為人熟知的名稱——白帽黑客。在網(wǎng)絡(luò)世界黑帽黑客就像是矛利用系統(tǒng)或軟件的漏洞非法入侵并獲取利益。白帽黑客則如同盾他們懂黑客技術(shù)選擇用技術(shù)來(lái)保護(hù)網(wǎng)絡(luò)安全。發(fā)現(xiàn)漏洞后他們會(huì)將所有成果提供給相關(guān)公司以此幫助他們完善產(chǎn)品。這是一個(gè)距離公眾很近卻又往往不被人知的寂靜之地。2020年1月一條“韓國(guó)多名藝人手機(jī)被黑并遭勒索”的新聞就沖上了微博熱搜。黑客利用的很可能就是某個(gè)系統(tǒng)漏洞非法獲得短信、照片、視頻等私人信息…進(jìn)而恐嚇要挾索要巨額贖金。此類事件不只發(fā)生在國(guó)外。今年8月浙江新昌縣法院審理判決了一個(gè)侵犯公民個(gè)人信息的案件。警方偵查發(fā)現(xiàn)近330萬(wàn)臺(tái)老年機(jī)被植入木馬截獲驗(yàn)證碼500余萬(wàn)條犯罪分子將信息賣(mài)入黑市獲利近800萬(wàn)元。更駭人聽(tīng)聞的是那些獲取個(gè)人信息的方式甚至可以讓你毫無(wú)感知。而非法控制手機(jī)的手段僅僅是你隨手點(diǎn)入的一條鏈接。與邪惡作戰(zhàn)讓網(wǎng)絡(luò)黑產(chǎn)無(wú)漏洞可鉆是白帽黑客的目標(biāo)和興趣。光年實(shí)驗(yàn)室的菜絲就是中國(guó)白帽黑客的一個(gè)代表。他很年輕才28歲卻已鉆研黑客技術(shù)12年了。進(jìn)入信息安全領(lǐng)域菜絲憑借的完全是興趣。2008年16歲的菜絲就對(duì)計(jì)算機(jī)技術(shù)產(chǎn)生了濃厚的興趣。當(dāng)時(shí)他將系統(tǒng)攻防的一些思路分享給一個(gè)廠商獲得了一件小禮物。而所有獲獎(jiǎng)的人中他是最小的一個(gè)。信息安全的種子就這樣種在他的心里。9年后加入螞蟻安全光年實(shí)驗(yàn)室年少老成的他迅速展露出在信息安全領(lǐng)域的才華。實(shí)驗(yàn)室能一舉發(fā)現(xiàn)iPhone 11 Pro手機(jī)系統(tǒng)的漏洞就是基于他的研究成果。菜絲在展示破解后的iPhone而在這個(gè)12人的小小實(shí)驗(yàn)室菜絲也很高興遇到了更多志趣相投的小伙伴。比如愛(ài)講冷笑話的鶩望。天府杯上鶩望捕獲漏洞的目標(biāo)是Adobe PDF Reader。這是一款幾乎所有電腦都會(huì)用到的軟件一旦漏洞被黑客利用后果不堪設(shè)想。為了走在黑客前面幾個(gè)月的時(shí)間里鶩望做了幾萬(wàn)次的測(cè)試才能確保順利地發(fā)現(xiàn)Adobe PDF Reader的漏洞。比賽之外鶩望和同事們也不斷將研究的目標(biāo)拓展到更多的常用軟件——大家最常用的Word、Excel、Adobe……鶩望這些漏洞的發(fā)現(xiàn)能更好幫助互聯(lián)網(wǎng)公司提高產(chǎn)品安全性。也正因?yàn)檫@樣成立4年來(lái)菜絲和鶩望所在的團(tuán)隊(duì)被谷歌、蘋(píng)果、微軟等多家科技巨頭公司公開(kāi)致謝。特別是2020年以來(lái)光年實(shí)驗(yàn)室被蘋(píng)果公司公開(kāi)致謝了35次位列全球首位。光年實(shí)驗(yàn)室的起點(diǎn)源于2016年曲和的一個(gè)意外發(fā)現(xiàn)。那時(shí)他剛來(lái)到螞蟻集團(tuán)工作職責(zé)只是保障支付寶APP的安全。但隨著工作的深入年底時(shí)他發(fā)現(xiàn)了一個(gè)足以影響整個(gè)手機(jī)行業(yè)的漏洞。那是一個(gè)僅需幾行代碼就能在大部分國(guó)產(chǎn)手機(jī)實(shí)現(xiàn)權(quán)限提升竊取用戶個(gè)人隱私的漏洞。這個(gè)發(fā)現(xiàn)連他自己都驚訝不已。隨后也被CNVD國(guó)家信息安全漏洞共享平臺(tái)評(píng)選為2016年度最有價(jià)值漏洞。能力越大責(zé)任也就越大也是在這個(gè)階段螞蟻內(nèi)部產(chǎn)生了成立實(shí)驗(yàn)室的想法?！安粌H是保障支付寶自身產(chǎn)品的安全我們也想站在整個(gè)互聯(lián)網(wǎng)安全的層面為中國(guó)的網(wǎng)絡(luò)安全做更多的一些貢獻(xiàn)。”曲和回憶。曲和2011年就進(jìn)入信息安全領(lǐng)域的曲和也見(jiàn)證了中國(guó)互聯(lián)網(wǎng)的變遷。從最開(kāi)始備受病毒困擾的PC系統(tǒng)到移動(dòng)互聯(lián)網(wǎng)時(shí)代的安卓與iOS系統(tǒng)他始終站在互聯(lián)網(wǎng)安全的第一戰(zhàn)線。近10年過(guò)去他最大的感慨是要耐得住寂寞“你可能很長(zhǎng)時(shí)間都沒(méi)有突破性的成果但一定要有信念相信一定能成。”成立實(shí)驗(yàn)室曲和面對(duì)的第一個(gè)難題是招聘。熱鬧的互聯(lián)網(wǎng)相比程序員敲下代碼就能完成產(chǎn)品。做白帽黑客難度高成效慢往往研究半年最終一無(wú)所獲。最需要的是耐心與耐力。所以愿意選擇這行的年輕人少之又少。更為重要的是善惡觀。一個(gè)漏洞的發(fā)現(xiàn)往往伴隨著巨大的利益黑白之間只是一瞬間的取舍。所以做白帽黑客必須能經(jīng)得住誘惑與團(tuán)隊(duì)價(jià)值觀保持一致走在正確的道路上。曲和在招聘時(shí)對(duì)一個(gè)人的觀察也往往長(zhǎng)達(dá)一年。正因如此4年了他的團(tuán)隊(duì)也就12個(gè)人。光年實(shí)驗(yàn)室部分小伙伴合影如今回憶曲和最記憶猶新的是2018年年底。光年實(shí)驗(yàn)室陷入低谷的一段時(shí)間。從事底層的基礎(chǔ)系統(tǒng)研究是一個(gè)很難快速出成果的工作。那段時(shí)間團(tuán)隊(duì)小有成績(jī)但繼續(xù)往上走卻又面臨不小的挑戰(zhàn)。“就像一個(gè)圍棋選手段位越高越往越高處去就會(huì)越難?！焙荛L(zhǎng)一段時(shí)間沒(méi)有突破性成果四面八方的質(zhì)疑聲便接連而生?？粗磉呑鰳I(yè)務(wù)的小伙伴成績(jī)頻出辦公室里的氣氛慢慢有了變化。曲和的壓力也來(lái)自于此“公司不像大學(xué)除了仰望星空還要腳踏實(shí)地?！币恢睕](méi)有成果還值不值得繼續(xù)做很多人打了個(gè)問(wèn)號(hào)。困難時(shí)刻讓曲和最感動(dòng)的是團(tuán)隊(duì)小伙伴的堅(jiān)持“這種情況下大家還能堅(jiān)定地一路往前走非常不容易”。這種堅(jiān)持源于熱愛(ài)也源于面對(duì)無(wú)數(shù)代碼時(shí)所磨練出的一份耐心。接受最人物采訪時(shí)無(wú)論是菜絲、鶩望、還是曲和他們提到最多的都是對(duì)這份工作的敬畏。他們總相信能沉下心自有回聲。隨后幾年他們所取得的成績(jī)就是這回聲。曲和說(shuō)就像長(zhǎng)跑熬過(guò)了極點(diǎn)就能更坦然平靜后面的路也就好走了。當(dāng)然在曲和看來(lái)支撐著大伙兒走到現(xiàn)在的除了死磕系統(tǒng)漏洞的執(zhí)拗。還有身邊可愛(ài)的伙伴。發(fā)現(xiàn)iPhone 11 pro漏洞的菜絲高冷個(gè)性還特別喜歡Rap喜歡吐槽。與普通人相比他的思維更活躍想法也更清奇。問(wèn)他為什么給自己取“菜絲”的花名。他說(shuō)“就像二狗子這樣名字的小孩比較好養(yǎng)活。”看似沉默、總躲在角落的鶩望其實(shí)很冷幽默。問(wèn)他為什么加入螞蟻他的回答和像流川楓加入湘北中學(xué)一樣——因?yàn)楣倦x家近。他總說(shuō)自己不是典型的程序員“我們加班并不嚴(yán)重我的頭發(fā)也很多”。他還有一個(gè)愛(ài)他的女朋友不過(guò)也有一些甜膩的煩惱——“程序好控制女朋友不好控制經(jīng)?；翌^土臉的。”問(wèn)他給女朋友挑過(guò)什么bug時(shí)他很有求生欲“不好說(shuō)如果發(fā)出去會(huì)被追殺感覺(jué)這會(huì)破壞和諧生活?！弊鳛閷?shí)驗(yàn)室的負(fù)責(zé)人曲和本人更穩(wěn)重一些。過(guò)去他愛(ài)打羽毛球有了孩子后一切的愛(ài)好都變成了關(guān)注孩子。他把這稱為“一個(gè)爸爸的自我修養(yǎng)”。天府杯結(jié)束后一個(gè)階段的緊張也結(jié)束了曲和帶著團(tuán)隊(duì)聚了幾次頓頓大餐。但隨后他們又恢復(fù)了繁忙的工作狀態(tài)。今天的互聯(lián)網(wǎng)每一刻都在變化。而安全問(wèn)題已不是一家公司就能獨(dú)自解決。它更像一場(chǎng)互聯(lián)世界的聯(lián)盟之戰(zhàn)需要人們時(shí)刻警惕也時(shí)刻協(xié)作。在曲和看來(lái)支付寶、淘寶等應(yīng)用程序就像是高速公路上的車(chē)輛。安卓、iOS、Windows等系統(tǒng)就像是承載無(wú)數(shù)應(yīng)用的高速公路。車(chē)輛或車(chē)道彼此的安全都關(guān)聯(lián)著組成了一個(gè)生態(tài)?！八械膮⑴c方都應(yīng)該貢獻(xiàn)自己的一份力量來(lái)保障整個(gè)生態(tài)的安全?！倍@也是螞蟻安全光年實(shí)驗(yàn)室存在的理由。用戶越多責(zé)任越大越需要一頭扎進(jìn)浪潮之中鉆研技術(shù)保障每一個(gè)普通人的利益。黑白之間的戰(zhàn)斗會(huì)繼續(xù)每一個(gè)系統(tǒng)漏洞雖小背后卻是不應(yīng)該被忽視的人。光年實(shí)驗(yàn)室挖掘漏洞的能力也能應(yīng)用到螞蟻的眾多基礎(chǔ)設(shè)施上從源頭更好地保護(hù)生態(tài)和用戶的安全。曲和還記得成都的比賽結(jié)束他走出場(chǎng)館過(guò)去數(shù)年的故事一幕幕出現(xiàn)在腦海里。酸甜苦辣都回憶過(guò)一遍他提得最多的卻是“有趣”。做白帽黑客或許沒(méi)什么特殊也不一定就該贏得更多的掌聲。如果說(shuō)有什么值得高興的就在于“這是一份有趣的工作”。這份工作需要永遠(yuǎn)站在浪潮之上、永遠(yuǎn)擁抱變化。從電腦到手機(jī)從安卓到蘋(píng)果從少數(shù)人的奢侈到數(shù)十億人擁抱的互聯(lián)網(wǎng)……作為白帽黑客見(jiàn)證了科技的飛奔自己也需要不斷飛奔不斷學(xué)習(xí)就像一群沉默的守夜人日夜巡邏守護(hù)著普通人的信息安全。頭扎進(jìn)浪潮之中鉆研技術(shù)保障每一個(gè)普通人的利益。黑白之間的戰(zhàn)斗會(huì)繼續(xù)每一個(gè)系統(tǒng)漏洞雖小背后卻是不應(yīng)該被忽視的人。光年實(shí)驗(yàn)室挖掘漏洞的能力也能應(yīng)用到螞蟻的眾多基礎(chǔ)設(shè)施上從源頭更好地保護(hù)生態(tài)和用戶的安全。曲和還記得成都的比賽結(jié)束他走出場(chǎng)館過(guò)去數(shù)年的故事一幕幕出現(xiàn)在腦海里。酸甜苦辣都回憶過(guò)一遍他提得最多的卻是“有趣”。做白帽黑客或許沒(méi)什么特殊也不一定就該贏得更多的掌聲。如果說(shuō)有什么值得高興的就在于“這是一份有趣的工作”。這份工作需要永遠(yuǎn)站在浪潮之上、永遠(yuǎn)擁抱變化。從電腦到手機(jī)從安卓到蘋(píng)果從少數(shù)人的奢侈到數(shù)十億人擁抱的互聯(lián)網(wǎng)……作為白帽黑客見(jiàn)證了科技的飛奔自己也需要不斷飛奔不斷學(xué)習(xí)就像一群沉默的守夜人日夜巡邏守護(hù)著普通人的信息安全。像目前比較火熱的開(kāi)發(fā)崗位實(shí)屬網(wǎng)絡(luò)安全畢竟國(guó)家網(wǎng)絡(luò)安全法也出臺(tái)了網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0等合規(guī)要求也出來(lái)了。網(wǎng)絡(luò)安全對(duì)于大部分政企單位來(lái)說(shuō)已經(jīng)從[可選項(xiàng)]變成了[必選項(xiàng)]。在以前很多政企單位在進(jìn)行 IT 部門(mén)及崗位劃分時(shí)只有研發(fā)和運(yùn)維部門(mén)安全人員直接歸屬到基礎(chǔ)運(yùn)維部而現(xiàn)在越來(lái)越多單位為了滿足國(guó)家安全法律法規(guī)的要求必須成立獨(dú)立的網(wǎng)絡(luò)安全部門(mén)拉攏各方安全人才、組建 SRC安全響應(yīng)中心為自己的產(chǎn)品、應(yīng)用、數(shù)據(jù)保衛(wèi)護(hù)航。根據(jù)國(guó)家發(fā)布的《網(wǎng)絡(luò)安全人才實(shí)戰(zhàn)能力白皮書(shū)》數(shù)據(jù)顯示目前中國(guó)網(wǎng)絡(luò)安全人才供應(yīng)嚴(yán)重匱乏每年高校安全專業(yè)培養(yǎng)人才僅有3萬(wàn)余人而網(wǎng)絡(luò)安全崗位缺口在2027年將達(dá)327萬(wàn)缺口高達(dá)95%。了解網(wǎng)絡(luò)安全首先要搞清楚下面這些前提網(wǎng)絡(luò)安全到底包含哪些技術(shù)是否需要會(huì)編程網(wǎng)絡(luò)安全行業(yè)有哪些職業(yè)方向“我”該如何選擇網(wǎng)絡(luò)安全的職業(yè)發(fā)展和成長(zhǎng)路線是什么如果你是準(zhǔn)備學(xué)習(xí)網(wǎng)絡(luò)安全黑客或者正在學(xué)習(xí)下面這些你應(yīng)該能用得上①網(wǎng)絡(luò)安全學(xué)習(xí)路線②20份滲透測(cè)試電子書(shū)③安全攻防357頁(yè)筆記④50份安全攻防面試指南⑤安全紅隊(duì)滲透工具包⑥網(wǎng)絡(luò)安全必備書(shū)籍⑦100個(gè)漏洞實(shí)戰(zhàn)案例⑧安全大廠內(nèi)部視頻資源⑨歷年CTF奪旗賽題解析一、網(wǎng)絡(luò)安全黑客學(xué)習(xí)路線網(wǎng)絡(luò)安全黑客學(xué)習(xí)路線形成網(wǎng)絡(luò)安全領(lǐng)域所有的知識(shí)點(diǎn)匯總它的用處就在于你可以按照上面的知識(shí)點(diǎn)去找對(duì)應(yīng)的學(xué)習(xí)資源保證自己學(xué)得較為全面。二、網(wǎng)絡(luò)安全教程視頻我們?cè)诳匆曨l學(xué)習(xí)的時(shí)候不能光動(dòng)眼動(dòng)腦不動(dòng)手比較科學(xué)的學(xué)習(xí)方法是在理解之后運(yùn)用它們這時(shí)候練手項(xiàng)目就很適合了。三、網(wǎng)絡(luò)安全CTF實(shí)戰(zhàn)案例光學(xué)理論是沒(méi)用的要學(xué)會(huì)跟著一起敲要?jiǎng)邮謱?shí)操才能將自己的所學(xué)運(yùn)用到實(shí)際當(dāng)中去這里帶來(lái)的是CTFSRC資料HW資料畢竟實(shí)戰(zhàn)是檢驗(yàn)真理的唯一標(biāo)準(zhǔn)嘛~四、網(wǎng)絡(luò)安全面試題最后我們所有的作為都是為就業(yè)服務(wù)的所以關(guān)鍵的臨門(mén)一腳就是咱們的面試題內(nèi)容所以面試題板塊是咱們不可或缺的部分這里我給大家準(zhǔn)備的就是我在面試期間準(zhǔn)備的資料。網(wǎng)安其實(shí)不難難的是堅(jiān)持和相信自己我的經(jīng)驗(yàn)是既然已經(jīng)選定網(wǎng)安你就要相信它相信它能成為你日后進(jìn)階的高效渠道這樣自己才會(huì)更有信念去學(xué)習(xí)才能在碰到困難的時(shí)候堅(jiān)持下去。機(jī)會(huì)屬于有準(zhǔn)備的人這是一個(gè)實(shí)力的時(shí)代。人和人之間的差距不在于智商而在于如何利用業(yè)余時(shí)間只要你想學(xué)習(xí)什么時(shí)候開(kāi)始都不晚不要擔(dān)心這擔(dān)心那你只需努力剩下的交給時(shí)間這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN朋友們?nèi)绻枰梢晕⑿艗呙柘路紺SDN官方認(rèn)證二維碼免費(fèi)領(lǐng)取【保證100%免費(fèi)】