福州铁钉价格销售中心

黑哥薛锋,Xundi云舒,白帽谁懂,大咖先知 | 访谈

安在2018-05-10 14:00:44



当笑然(阿里云先知平台负责人,详见:【白帽】圈里圈外,笑然面对)联系我,说想请我在先知白帽大会上主持个圆桌,我有点蒙,我这么个只会务虚不懂技术的“老头子”,在一帮技术高超的年轻后生堆里,似乎有点不搭调?


不过,当听到坐在台上的,是Xundi、云舒、黑哥、薛锋这四位“老江湖”,其中云舒和薛锋都曾上过“安在访谈”,我这心里多少踏实了些。都是熟面孔,不大可能给我冷脸。“不用讲技术,就是论一下白帽子成长、发展之类的。”主办方进一步给我宽心,好吧,那就硬着头皮上吧。



先说说与我同台这四位,个顶个的英雄好汉。


云舒,前阿里资深专家,创业默安科技后担任CTO,一位信奉在网络世界里有1说1有0说0、嫉恶如仇且敢作敢当的知乎大V。

详见:云舒,一个技术至上者的理想主义

黑哥,知道创宇CSO,一位丢掉手术刀捧起键盘鼠标的传奇黑客。

Xundi,安全焦点没人不知道吧?作为曾经的安焦掌门人,现为阿里巴巴高级安全专家,是影响过一代古典黑客的教父级人物。

薛锋,微步在线创始人,有着“情报薛”美誉的创业新锐,曾经身着微软、亚马逊等一连串的闪光履历。

详见 贵人相助,创业微步,薛锋成就网络安全007


四位大咖,各个都不是“省油的灯”,我该如何面对?妻儿


主办方事先拉群,问要不要做些准备?我嘴上说不用,其实私底下还是老老实实做了功课的。查阅网上资料,复习之前访谈,提炼各自特点,再结合白帽子成长与发展之主题,突然觉得,好像又是在做一场安在访谈了,只不过这次,一来台下几百观众,二来台上以一对四,加上限定1个小时,“螺丝壳”里怎么做出既风光又实惠的“四居室”呢?


斟酌再三翻来覆去,最终心里落定,就看五点:


话题1,关于出身。对白帽子来说,科班与野路子,是各领风骚还是殊途同归?

话题2,关于社群。孤胆英雄式的自我发展,与社群交流式的互动成长,此一时彼一时,抑或正当其时?

话题3,关于表达。白帽子们真的只能是“键盘侠”?但如何让自己人前也能从容而自如?

话题4,关于成长。陶醉于挖漏找洞等技术钻研的海洋,白帽子如何还能更好地规划自己的职业发展?毕竟,“江湖”,不同于职场。

话题5,关于法律。无可回避地,白帽子必须面对网络与现实世界、特长与施展尺度、道德与法律边界等一系列问题。


如上每一点若深入下去,都会是一连串的话题。一个小时的“访谈”,又是同时面对四位,只能是蜻蜓点水了。


接下来,我就以整理修订后的现场笔录为证,点到为止,看这场特殊的“安在访谈”究竟如何吧。



英雄不问出处


张耀疆:来参加白帽大会的年轻人居多,台上这几位作为“老皮”,都是偶像级人物。不过,我提醒一下在座各位,别盲目学习,他们未必是好榜样。说实话,如果我是家长,我肯定不让我的小孩学他们。为什么?这也是我提出的第一个问题,你们几位,都是什么学校什么专业毕业的?以及,究竟毕业了没有?


黑哥:我是学医的,南华大学临床医学,我高三读了两次,复读才考上一本,不过,当初梦想也是清华北大,可惜空有热心。我本科五年,学习成绩是比较差的,大学期间,对网络安全很感兴趣,但纯靠自学。

 


张耀疆:毕业后从事过本职吗?忍不住八卦一下,听说你曾经是割皮包哦不,割包皮的?是真是假?


黑哥:当然,一开始就是从医。不过,不管皮包还是包皮,割起来都是一刀下。我们是临床医学,什么都学,内外妇儿必须都学,毕业工作分配到医院后,再根据自己方向或者意愿,结合当地医院科室缺口以及医术,决定进什么科。我待过很多科,到离职时候是在泌尿外科,所以你说割包皮,也OK,我承认!

 


张耀疆:安全圈有两个学医的,你一个,还有TK,人称“妇科圣手”,从医学转向网络安全,跨度如此之大,还都如此成功,有什么内在玄机吗?


黑哥:安全圈其实学医的很多,可能因为我和TK平时站出来比较多,所以大家都只记得我俩了。怎么说呢?其实没什么玄机,只能说当初我们没其他选择吧,毕竟早年间还没有信息安全这个行当。对我来说,家里希望我有个铁饭碗,就学医了。其实搞安全的,最根本的还是看个人兴趣,昨天我们吃火锅,闲聊起来,发现一桌子里头没一个是科班出身,当时没这个专业,入行全靠兴趣。

 


张耀疆:你说的是过去的时代背景,假如说那个时候就像现在,有信息安全一级学科,你一定会选吗?


黑哥:也不一定。我在中学时候就有计算机课了,每周一节,统一机房,穿鞋套,上网是八块、十块一小时,我那时候一个月才30块零用钱,上网对我是很奢侈的,当时看人五笔打字都能站旁边看半天,觉得很神奇。不过,那时候我的梦想是当一个发明家,爱迪生那样的,所以就看了很多发明类的书。因为条件所限,直到读了大学以后,网吧兴起,上网条件改善,我才开始接触网络安全的。

 


张耀疆:不管怎么说黑哥算是正经毕业了的,接下来说说云舒,据我了解,云舒可是绝对的“坏学生”,因为压根就没毕业。


云舒:对。我大学是学经济的,本来应该可以成为一个经济学学士,但我没上完。是到大四,我知道自己肯定毕不了业,干脆就先走了,所以就没有学位。我大学比较一般,但我高中很厉害的,估计很多人做过黄冈秘卷,那可是我们的“特产”。

 


张耀疆:回头看,没有毕业,对你来说算是败笔还是算英雄事迹?


云舒:没毕业这事儿当时还是让我很担心和迷茫的,且不说对自己以后发展心里没底,至少也无法跟家里人交待,所以离开学校后我很长时间都没跟家里人讲,直到两年以后,去雅虎工作,做的还可以,才敢跟家里说,家里人也才稍微放心一些。

 


张耀疆:其实云舒是个特例,我们都知道,“坏学生”很多,但真正能华丽转身变成英雄,像云舒这样的,就很少了,所以,再次提醒,大家可别学哦。接下来,我要问薛锋了,听说你学校不错,但好像也不算个好学生?


薛锋:我本科是同济大学,热能与动力专业,以前接受耀疆采访时讲过,大学期间挂了很多科,最后能毕业,也是很幸运的,用了点小技巧。

 


张耀疆:嗯,这里面就体现出薛锋的聪明。当然,技巧应该不包括黑学校系统、改成绩这样的吧?之前我采访过的很多同学,好像都曾经用过黑系统改成绩的“小技巧”,薛锋干过这事吗?


薛锋:还真没有。

 


张耀疆:接下来问一下Xundi,你的背景是怎样的?


Xundi:这问题你挖的有些深,这里头算我年纪最大吧,说起来都是93年的事了。当时高考成绩不好,刚好浙江大学有个是专科招录,计算机应用,我就报了,没想到就被录取了。当时觉得浙江大学是个好学校,对于选专业倒没什么,只读了三年,东西学的也不多。那会儿还没有互联网,只有机房,这大概就算我的学习背景吧。

 


张耀疆:四位还是比较谦虚的,讲得都比较简单。但不管是学校、专业还是毕业后所从事的工作,一开始都跟网络安全不是太相关,但有一点是共同的,既然能够走到今天,取得突出的成绩,都是受强烈的兴趣驱动,自己钻进来的。说到这里,我又想起谭校长讲过的一句话:“一个真正的白帽子黑客,不是别人怎么样带领你,而是自己,靠着强烈的兴趣驱动,就能够发展起来。你只需要给他开一扇窗,连摸带爬得他都要自己钻过去。”我想,英雄不问出处,这就是白帽子



白帽社区今何在?


张耀疆:在我印象里,2000年前后,国内网络安全圈的氛围还是相对单一的,包括交流的渠道,IRC、论坛这样的,安全焦点和绿色兵团,作为当时最知名的黑客组织,曾经培育出一代的网络安的精英。也许是属于我们的时代翻篇了,现在的氛围就觉得稍微陌生了些。昨天颁奖典礼时,看到那么多团队,名字不大能记住,真的是百花齐放呀。我想问一下Xundi,十年前和现在,黑客或者说白帽子社群交流的氛围,有什么异同?


Xundi:肯定有差异性。我们以前基本上是用论坛交流的方式,而且开放性也没有现在强。当然,现在你要找一些安全资料,除了搜索引擎外,只有一些所谓的安全媒体,像以前那样提供学习的论坛或者圈子是比较少了。倒不是说现在不如当初,而是说学习方式变化了。原来基本上只能自己折腾,现在呢,谷歌搜索就能找到大量论文和技术资料,比以前美好多了。我们当时很痛苦的,花大量时间从网上拖资料,然后翻译,整理,实践。根本上,对自我驱动能力的要求都差不多,只不过是分享和交流的系统发生了变化。

 


张耀疆:也就是说,不管怎样,白帽子群体还是非常渴望有一个除了工作之外的平台或机制,能够提供一种社群交流的氛围,那这方面,现在倒是个空白了?


Xundi:肯定少了很多。不过,现在走进这个会场的年轻人这么多,其实也都有自己的小圈子,像以前乌云的QQ群,小圈子还是有频繁交流的,只不过圈子和圈子不一样,你很难广泛接触。当然,我有时候也会潜水,看到有些东西也会交流,但交流的方式和沟通的理念会不大一样。在我看来,真要找还是能找到的,就看自己有没有用心去找圈子吧。

 


张耀疆:提到白帽社群,昨天笑然讲过,先知平台要搭建起技术交流的社区,这个说法我很认同。为什么刚才我说有个空档期呢?大家都知道,自从乌云事件之后,广泛意义上的白帽子交流社区是缺失了的,但不代表没有需要。如果我们能把平台的概念逐渐转向社区的概念,这里面的交流和互动可能就会体现得更充分一些。关于这一点,Xundi作为安焦早期创始人,有什么经验可以分享?


Xundi:其实我一直有参与笑然的项目,以后还会更积极地参与社群和众测项目,我觉得挺好。笑然搞了钉钉群和微信群,我都加了,互动非常活跃,几千条信息在里面,是一种很好的沟通氛围。



从兴趣爱好到职业发展

 

张耀疆:之所以提社群这个概念,是因为关系到白帽子成长,而关于成长,又不仅仅是技术交流,毕竟和职业发展还有区别。白帽基于平台或社区做技术交流,提高挖漏能力,但自身身处的,会是某家公司,无论你是网络安全工程师,还是程序员,你需要考虑的是未来怎样做职业规划。相对而言,现在的平台或社区这方面体现的少了点。就这一点,我想问一下薛锋。当初采访薛锋时印象很深刻,就是感觉你一路走来都很顺,从体制内,到体制外,从微软到亚马逊,现在创业,基本上没走弯路,那这是有意设计的?还是怎样的?


薛锋:这个话题很大,云舒他们几位其实都可以分享。就我个人而言,从2000年开始接触网络安全,那时候选择特别少,国内安焦、绿盟是比较活跃的论坛,还有《黑客防线》这样的杂志,其他就没什么了。现在不一样了,不是怎么找资料,而是找到太多资料,要怎么选。


我最早也是自学网络安全,当时的兴趣就是搞好技术。后来以技术研究的想法到微软,却转向做技术管理,只能说是阴差阳错的机会。当时招我的老板说,愿意不愿意来微软?说是来搞研究,我说搞研究就有兴趣,结果去了后再也没搞过研究。我去微软前是搞漏洞研究的,去微软后开始做项目管理、技术管理,但一路走来规划的成份并不很多。总体上,我觉得还是兴趣比较重要,还要勤奋和踏实。


不管什么岗位,往往是很难规划的,我在微软时有位导师说过一句话,我们大部分人都习惯于高估短期可以做的事情,却特别容易低估长期,比如三年、五年可以做的事情。现在社会变化这么快,如果说规划,还是把当前的事情规划好,去做好。相信今天在座的,不管是年长还是年轻的朋友,很多人的职业是无法规划的,网络安全更是如此,作为很新的行业,我相信很多人都很难预料短时间内的变化,从甲方到乙方,又从乙方到甲方。还是跟着兴趣走吧,并且足够勤奋,就好了。

 


张耀疆:整个听下来,一种活在当下的感觉。不过,在职业发展过程中,难免面临选择,比如一直搞技术的,如果要脱离技术一线,心里就会不踏实。像有些人,就是事情推动在发展的,最早搞技术,后来做售前,再做销售,到管理。关于选择,薛锋怎么看?


薛锋:我记得道哥以前专门写过职业道路选择的文章,大家可以去看看。


 据我的经验,微软等大公司,很早就提出P序列和M序列,两条道路的选择跟个人的兴趣和机遇都有关。如果搞技术工作让自己兴奋,就沿着技术路线走好了,其实搞技术也有进阶,比如做技术架构和技术管理。至于是否有成就感,就看所做的事情有没有发自内心的兴奋。比如我,早年间,每找到一个漏洞,都迫不及待想和人分享,好像我突然发现了世界上一个大秘密似的,有这种感觉,就比较适合搞技术。后来到微软,在更大的平台上,突然觉得,就算你找了100个CVE再找另100个又能怎样?首先微软内部聪明人太多了,很多你只能仰望,再走这条路,其实个人没什么发展,其次觉得有这样的平台和用户基础,做一些技术含量虽低但影响面很广的事情可能更有成就感,这时候,很自然我就转到非技术的管理类岗位上去了。



基于价值观的表达


张耀疆:昨天听笑然演讲,提到白帽子群体的特点,看到有一个白帽写的个人目标,我还蛮感触的,其中有一条是锻炼自己的表达能力。安在走访过很多人,包括年轻人,很多年轻人技术上很厉害,很有特点,生活中也不乏情趣,但最大的问题就是不善表达。

       

比如你问他的本来是个开放式问题,但得到的反馈往往是“嗯,还好”、“这个我没想过”类似的封闭式解答。其实,如果表达好,往往加分很厉害的。我也经常给年轻人建议,除了钻研技术,不要封闭自己,要多与人交流,多做分享,有意识去锻炼自己的表达能力。

       

当然,交流和表达并不仅仅是语言沟通,还在于思维方式和文笔书写等,这方面不得不提一下云舒。公众认识的云舒,是一个非常有个性的知乎大V,而在我看来,云舒一方面是非常开放,乐于分享,另一方面,又有很强的表达能力,支撑这种表达的不仅仅是技术,更是一种价值观。作为一个技术分享者,我们与人交流不仅仅是让人知道我善谈能写,更是要表达出,我坚持什么?什么理念?要输出什么价值观?对此,云舒给我留下非常深刻的印象,接下来,就请云舒谈谈个人感受。


云舒:黑哥当年说过,从阿里出来的人都比较能忽悠,我估计说的是我和道哥吧。我自己觉得,我的出发点蛮简单的,之所以表达分享,只是想把一件事讲清楚,呈现出原貌。我一直很认同TK说过的一句话,是在很多年前一次安焦论坛上,TK当时回复一个人的提问,说计算机的好处就是1就是1、0就是0,打印出来看一下就可以了。我就是这样,我在微博或者知乎上和人讨论,并没有特别目的,只是想呈现技术原貌,从技术上把事情说清楚,搞明白到底是对还是错。我并不带有任何感情色彩,比如以特定公司身份或从它的角度出发。所以有时候大家会觉得,我写文章态度会差一些。其实态度本身并不重要,价值观也不需要高大上,原原本本呈现世界的原貌,对技术人员来说就是最好的价值观。

 


张耀疆:在我印象里,你已经无数次说过要离开知乎了,可又一次次地回来了,是什么原因让你留在知乎?或者说,是什么驱使你不断地不吐不快?


云舒:其实离不离开对我来说没啥区别。前天还有人给我发了私信,说以前看你有很多观点,现在怎么天天关注美女和好看的照片呢?我就讲,关注美好的东西本身不就是一件很好的事情吗?也许从技术角度讲,我确实是离开了,因为以前我会和人讨论很多技术方面的东西,现在就不会再去讲这些了。我本来是想说,技术的东西很清楚的,1就是1,0就是0,但跟很多人讲不通。现在创业了,很辛苦,很累,头痛更心痛,那在知乎上看看段子和美女,就会很开心。这种轻松的状态,像喝茶聊天一样,不像以前那样子,所以说我离开也没有错,但其实我并没离开,还很活跃,其实也没错。

 


张耀疆:这话说得很圆滑(笑),离开也可以,不离开也可以。但不管怎样,都是在分享。从个人表达能力提升上讲,分享的愿望和持续性非常重要,我是觉得,在座的年轻的白帽子们,如果想持续提升并完善自己,除了挖漏的技术以外,也多去做一些分享,包括在社群里,也包括跟安全无关的一些其他平台,比如微博、知乎等。通过分享,你会觉得面越来越宽,得到的积极反馈也会越来越多,也能更好地激励你朝着更广泛的机会路径上去发展。



情与法

 

张耀疆:对白帽子以及众测平台来说,大家绕不开的一个话题,就是法律。甚至可以说,这是白帽子们必须补上的一块短板。白帽子们沉浸在纯粹的技术世界里,有情有义,但殊不知现实世界充满了坑——说的好听叫规则,说得不好听就是坑,搞不好就载进去。像之前的乌云事件,不少人心里其实是打鼓的。前阵子我曾走访过一位网警,从他那里也了解到很多现实法律问题,但相比而言,很多白帽子们之前觉得很单纯很无意的做法,现在看来都是走在高压线上的,往往不是不违法,而是没被追究而已。比如对于漏洞测试,只要是非授权,严格意义上就是违法的,还有就是黑客技术和工具的传授,基于利益获取考虑,也是违法的。就此问题,早前我曾和黑哥有过简短交流,那现在,还是想听听黑哥有什么看法?


黑哥:我没犯过事,这问题为什么找我回答?(笑)是这样的,其实我不太想提白帽子、红帽子、绿帽子,我只有一个观点,颜色我不管,我只看很单纯的从事网络安全研究的这么一个人,或者说从业者。


首先说法律(《网络安全法》)颁布了,肯定是好事,任何事物都是从无到有的过程,以前是以江湖来形容网络安全这个行当的,江湖也有江湖的规则,那现在,国家层面颁布了法律,就有了正规的机制,是一个好的开端。但也要看到,任何事物的发展都是变化的,法律也不是一成不变的,也会在实践中不断去完善的。


就实践而言,很多细节其实很难界定,这就需要大家一起PK,我平时很喜欢PK,从中会引发很多思考。比如你说只要是非授权的测试都可能违法,那问题就来了,我访问一个URL,一不小心输入了一个逗号,结果报错了,说明它有问题,这种情况下,我是报还是不报?我没有得到授权,可这个问题是我发现的,我是先要申请授权再做这事?还是发现问题了瞒着不说?可也许后续影响会非常大呢。所以说,很多事情如果只是生搬硬套,你会发现,连这个行业都不可能存在了,网络安全整个就可能成为一个笑话,因为你什么都做不了。


沟通其实是一个问题。发现漏洞,比如随便输入一个逗号发现有注入漏洞,去和厂商沟通,厂商可能不认可,说不能说明什么,看起来是按流程来的,但其实双方理解上并不一致。如果企业有能力验证漏洞还好,可如果没有这个技术力量,就会产生问题,比如评分低了,甚至不承认等等。当然,SRC机制一定程度上促进了沟通,但目前来看,很多SRC和平台其实是不具备这个漏洞验证能力的。


还有一个法律解读的问题,有些解读是看获取数据达到多少多少条,有些则看到底有没有造成经济损失,损失多大,还有要看出发点,比如是想通过技术手段获得经济利益。法律评定,是要基于出发点和最终效果来的,不是简单对照条条框框来机械解读。


技术要进步,整个行业要发展,不可能让一些机械教条的东西成为绊脚石。像滴滴,刚出来时也没什么运营资质,算是非法的吧,但后来逐渐变化,改进完善。所以说,事物发展一定是要经历一个过程的,当然,中间难免会有一些趟雷的成了牺牲品,关键是要注意掌握一个度。


总体上,法律健全是必然的,但对白帽子们来说,也要放宽心态,不是说法律出来了就什么都不能做了,法律绝不会冤枉一个好人,也不会放过坏人。只是在操作过程中注意“度”的问题,尽可能表现出好心,告诉别人你只是从安全角度思考,希望整个环境能OK起来。

 


张耀疆:黑哥的意思其实很明白了,我的理解是,不忘初心加有效沟通。在这样的心态下,让自己继续在基于兴趣的技术钻研道路上前进,同时少掉一些坑。

当然,除了对白帽子个人,另一方面,对平台而言,确实也该发挥更大的作用。漏洞平台发展初期,总体上沟通连接的作用很不够。从白帽子这边看,平台你不能做甩手掌柜;从企业端来看,你不能做挡箭牌。两个方面其实都有质疑,这就表明,平台无论在覆盖面还是深度上,连接都不够通畅。其实,真正连接通畅的平台,应该是桥梁和润滑剂,你不能仅仅停留在注册和报漏的阶段,而要不断提升和完善。


就此而言,我觉得先知平台做了很多好的尝试,一些机制建立得恰到好处。比如针对各SRC的“代运营”模式。刚才黑哥也收了,很多SRC是不具运营能力的,包括简单的漏洞识别和验证,而先知作为一个大平台,有能力其实也有责任承担这样的支撑角色。另外,像可信众测这种新的模式,把众测从三方(企业、白帽子、平台)关系提升到四方甚至多方关系,这让众测的公信度大大提升。当然,作为平台,还应该考虑把包括法律、社会机构等引入进来,针对更广泛的领域做互动交流,而不仅仅只是漏洞挖掘技术,这对扩展无论平台还是个人视野及能力都很有必要。


时间差不多了。短短一个小时,对一次深入访谈来说远远不够,今天就当是起个头吧,后续更深入的探讨,我会再约台上大咖,也希望和台下朋友们持续交流。


谢谢大家。



点击下方标题,看最经典的黑客传奇



人物 | 智者大潘

人物 | 360谭晓生的方法论

人物 | 龚蔚我不是黑客教父

人物 | Ucloud之父季昕华

人物 | 韩争光:“苹果”是我干掉的

人物 | 云舒我为什么要离开阿里

人物 | TK从妇科圣手到黑客教主

人物 | 乌云来了,我是方小顿

人物 | 破解了特斯拉的林伟

人物 | 刺风有道,吴翰清的云端飞扬

人物 | 铁马“冰河”,侠骨黄鑫

扫描二维码 关注更多精彩

新锐丨大咖丨视频丨白帽丨在看

回复关键词获得关于安在更多信息


友情链接