網(wǎng)絡(luò)安全戰(zhàn)爭里，白帽黑客與攻擊者的較量

王海燕++張雷

WannaCry勒索病毒橫掃世界，其實起點并不是5月12日，而是4月15日，微軟的漏洞利用工具被公告天下時。那一天，行動起來的黑客有兩種，一種在準(zhǔn)備血洗全世界的網(wǎng)絡(luò)，另一種試圖發(fā)出預(yù)警阻止戰(zhàn)爭。雖然勒索病毒事件讓國內(nèi)眾多一線網(wǎng)絡(luò)安全公司股票全線飄紅，但對試圖阻止戰(zhàn)爭的黑客來說，戰(zhàn)爭早就發(fā)生了，他們并沒有獲得勝利。

未被重視的預(yù)警

“3月的補(bǔ)丁，4月的預(yù)警，早知道的事情……”這是陳宇森在病毒事件爆發(fā)一周后發(fā)的朋友圈。這句話看起來有“事后諸葛亮”之嫌，但他的確有資格這么說。他的團(tuán)隊早在4月15日就作為國內(nèi)首家，發(fā)出過跟這次事件相關(guān)的公開詳細(xì)預(yù)警，他們當(dāng)時預(yù)估，“這次事件影響力堪稱網(wǎng)絡(luò)大地震”。一語成讖。

陳宇森是一家叫長亭科技的網(wǎng)絡(luò)安全創(chuàng)業(yè)公司CEO，4月15日，公司高級安全工程師李昌志在知乎專欄發(fā)表了一篇文章“方程式又一波大規(guī)模0day攻擊泄漏，微軟這次要血崩”，稱黑客組織“方程式”放出了一批微軟漏洞利用工具，所有Windows服務(wù)器將暴露在危險之中，堪稱“核彈級爆炸”。

方程式據(jù)稱是美國國家安全局下屬的黑客組織，握有大量的頂級網(wǎng)絡(luò)漏洞利用工具。2016年8月，一個名叫“影子”的黑客組織號稱入侵了方程式，盜竊了大量工具，希望公開拍賣，要價100萬比特幣（價值接近5億美元）。或許是為了證實自己握有工具，“影子”團(tuán)隊曾陸續(xù)放出部分工具作為先聲。在拍賣一直無法成功的情況下，“影子”團(tuán)隊放出了更多的漏洞利用工具。

漏洞是一個網(wǎng)絡(luò)安全術(shù)語，指網(wǎng)絡(luò)硬件和軟件的設(shè)計缺陷，黑客可以根據(jù)這些漏洞，開發(fā)出專門的工具，任何人都可以下載這些工具，使用漏洞進(jìn)行入侵。0day攻擊則通常是指使用未知漏洞進(jìn)行攻擊。雖然文章中的部分漏洞，微軟已經(jīng)在3月給出了最新補(bǔ)丁，但是泄露出來的工具生產(chǎn)時間是2011年，之前一直在使用未知漏洞，所以仍然稱得上“0day攻擊”。而因為工具被公開，對沒有及時升級補(bǔ)丁或使用特定端口的所有用戶來說，立刻如赤膊現(xiàn)于重炮之下。

關(guān)于“影子”團(tuán)隊放出漏洞利用工具的消息，長亭內(nèi)部是幾名實習(xí)生最早在Twitter上看到的，時間是4月14日晚上10點左右。因為預(yù)感事態(tài)嚴(yán)重，公司安全團(tuán)隊連夜組織了員工討論，一邊確認(rèn)消息的準(zhǔn)確性，一邊開始組織測試。測試完畢，團(tuán)隊將危害的等級確認(rèn)為最高，隨即寫文章在知乎發(fā)布。長亭確定危害等級主要是從兩個維度，一是危害程度，二是影響范圍。而根據(jù)長亭團(tuán)隊的經(jīng)驗，國內(nèi)眾多政府機(jī)關(guān)、國企、高校甚至部分互聯(lián)網(wǎng)公司依然在使用未升級的老版本W(wǎng)indows，使用的也正是幾個易被攻擊的端口，需要特別注意。到4月16日，國內(nèi)還有其他網(wǎng)絡(luò)安全公司如360也給出了簡短的預(yù)警信息。

但也許是因為預(yù)警太專業(yè)，也許是缺乏一線運(yùn)維安全人員，對包括多所著名高校和部分地方公安在內(nèi)的網(wǎng)絡(luò)系統(tǒng)，這些預(yù)警信息并沒有發(fā)揮作用。清華大學(xué)計算機(jī)安全中心倒是于4月15日貼出過一則“預(yù)防攻擊、關(guān)閉相關(guān)端口”的公告，在病毒爆發(fā)后的微博和朋友圈里火了一把，成為“為什么要努力考清華”的新梗。

當(dāng)然，無論長亭還是其他安全公司的預(yù)警，都沒有提到“病毒”兩個字，因為他們也無法預(yù)知其他黑客下載這些工具會如何使用，實際上，勒索病毒只利用了那批工具中的一小部分，根據(jù)美國網(wǎng)絡(luò)安全公司Proofpoint的調(diào)查，在勒索病毒爆發(fā)之前，黑客已經(jīng)利用這些工具入侵了全球數(shù)十萬臺PC和服務(wù)器，遠(yuǎn)程操控這些設(shè)備進(jìn)行數(shù)字貨幣挖礦，入侵規(guī)模可能比勒索病毒更大，只是無人察覺，正如安全圈內(nèi)流傳的那句名言，“互聯(lián)網(wǎng)世界里，只分被黑過的和不知道自己被黑過的”。

畢竟對普通用戶和媒體來說，“漏洞利用工具”是一個陌生的名詞，病毒才是可以理解的。在勒索病毒事件爆發(fā)之初，甚至有媒體將之冠名為“比特幣病毒”，雖然比特幣只是黑客要求的支付手段而已。更多的人則將這款病毒與“熊貓燒香”聯(lián)系起來，看起來，那個屏幕上彈出來的紅框和10年前無數(shù)人電腦里彈出來的熊貓頗有相似性。

正負(fù)面黑客的交手主戰(zhàn)場

但勒索病毒和“熊貓燒香”除了名聲，幾乎沒有可比性。熊貓燒香是用蠕蟲侵入個人電腦，修改文件，損人不利己，更像一場“事件營銷”。勒索病毒卻直接指向經(jīng)濟(jì)收益，是一門可觀的生意。并且，隨著以比特幣為首匿名支付手段日漸成熟，從2014年開始，這門生意的市場就在持續(xù)翻倍增長，目標(biāo)則逐漸從個人用戶向高價值機(jī)構(gòu)用戶轉(zhuǎn)移，帶來影響更廣泛的公共影響。

除了動機(jī)不同，勒索病毒與“熊貓燒香”的不同還在于，熊貓燒香是通過用戶主動在網(wǎng)站上下載的文檔植入計算機(jī)并傳染，可以預(yù)防也可以治理。勒索病毒則是，利用“方程式”已經(jīng)為攻擊者找到并鋪好道路的Windows漏洞，橫掃所有符合攻擊條件的用戶，快速傳播，直接開啟了上帝模式。

陳宇森介紹，挖掘并利用類似的漏洞，也是所有從事網(wǎng)絡(luò)安全攻防的黑客的核心技能。1992年出生的陳宇森畢業(yè)于浙江大學(xué)竺可楨學(xué)院求是科學(xué)班，從大學(xué)時代進(jìn)入網(wǎng)絡(luò)攻防領(lǐng)域，曾是源自清華大學(xué)的著名網(wǎng)絡(luò)安全技術(shù)競賽和研究團(tuán)隊“藍(lán)蓮花戰(zhàn)隊”的一員。陳宇森的創(chuàng)業(yè)公司伙伴也大多來自這個戰(zhàn)隊。

如果利用病毒入侵網(wǎng)絡(luò)只需要一個簡單程序，那高水平的漏洞挖掘和利用，則需要掌握系統(tǒng)的計算機(jī)知識，從編程、匯編到操作系統(tǒng)，以及逆向工程，都要有所涉獵，同時還需要如同排雷手般豐富的經(jīng)驗。雖然媒體經(jīng)常曝光一些“天才少年”，以后者入侵了大型重要網(wǎng)站為例彰顯他們的水平，黑客圈也充斥著各種掌握極大量數(shù)據(jù)的傳奇黑客。但在陳宇森看來，這些人都算不上真正的或者說頂級黑客。

對，和大眾的固有印象不同，相比安全人員這個標(biāo)簽，陳宇森更希望稱自己是一名黑客。對他來說，黑客應(yīng)該如同其英文母詞“hacker”一樣，是對計算機(jī)有狂熱愛好和深入研究者的中性描述。他引用第一個破解iPhone的著名黑客Geohot的話，說黑客精神的核心是：“我渴望權(quán)力，不是針對人的權(quán)力，而是針對自然力量和技術(shù)目標(biāo)的權(quán)力。我只是想知道這一切是如何運(yùn)作的?！?

在黑客圈內(nèi)，黑客也有白帽黑客和黑帽黑客之分，兩者都會挖掘漏洞，這也是他們交手的主戰(zhàn)場。不同的是，白帽黑客將漏洞交予廠商和第三方平臺，幫助修復(fù)產(chǎn)品;黑帽黑客則利用漏洞獲得非法收益。陳宇森也不知道為什么，在中國，黑客直接成了一個負(fù)面詞語，“有點逼良為娼的意思”。

長亭科技公司高級安全工程師李昌志長亭科技公司首席安全研究員楊坤

長亭的首席安全研究員、還在清華大學(xué)就讀博士的楊坤，就是一名典型的白帽黑客。他經(jīng)常帶領(lǐng)公司和學(xué)校的團(tuán)隊進(jìn)行各類攻防比賽，挖過模擬漏洞，也挖過真實的互聯(lián)網(wǎng)產(chǎn)品漏洞，他做得最多的事情是，長時間枯坐在電腦前面，從上百萬行代碼里面找出開發(fā)人員的紕漏。這是一件看起來絲毫不酷的事情，卻也是一名黑客走向頂尖高度的必經(jīng)之路。

通常，一般的大型互聯(lián)網(wǎng)公司在自己的安全部門，都有負(fù)責(zé)挖掘漏洞的白帽黑客，同時，無論國內(nèi)還是國外，都有來自政府、企業(yè)和第三方的漏洞平臺負(fù)責(zé)收取白帽黑客們挖掘的漏洞，并給予現(xiàn)金和物質(zhì)回報。其中如BAT等大型互聯(lián)網(wǎng)公司，根據(jù)對不同漏洞的評估，單個漏洞的收購價格上幾萬是常事。

只是，和回報巨大的黑色產(chǎn)業(yè)比起來，白帽黑客通過挖掘漏洞得到的物質(zhì)獎勵仍然顯得單薄。已經(jīng)關(guān)閉的國內(nèi)漏洞平臺烏云負(fù)責(zé)人方小頓曾將這種差距形容為，“月入一萬和日入一萬的差距”。陳宇森則認(rèn)為這個差距還將繼續(xù)增大?！昂芎唵?，連入互聯(lián)網(wǎng)的東西越來越多了?！庇羞^多年黑客經(jīng)驗的馮梓則提供了另外的信息，“過去一份QQ名單可能幾百塊就能買到，那時候的黑客不知道這些信息的價值，現(xiàn)在翻10倍也不一定買得到了?！?h3>典型的黑客成長之路

事實上，在網(wǎng)絡(luò)攻防這條路上，陳宇森和他的團(tuán)隊顯得“根正苗紅”，即使不創(chuàng)業(yè)，團(tuán)隊絕大多數(shù)成員都可以順利拿到國內(nèi)外著名互聯(lián)網(wǎng)公司的錄取通知書。他們進(jìn)入安全領(lǐng)域，成為白帽黑客，都是從系統(tǒng)學(xué)習(xí)和模擬比賽一路打怪晉級，并沒有進(jìn)入黑色產(chǎn)業(yè)的動力和推力。但學(xué)霸型的黑客只是鳳毛麟角，在中國，更多的黑客成長路徑并不是這樣。

1995年出生，已經(jīng)有超過5年黑客經(jīng)驗的馮梓，代表了另外一條更典型的黑客成長之路。上高一時，因為打游戲誤闖進(jìn)黑客論壇，他進(jìn)入了這個領(lǐng)域，一開始是在網(wǎng)上找人學(xué)習(xí)黑客技術(shù)，還交過學(xué)費(fèi)，但對方收了學(xué)費(fèi)后，隨便給他些小工具，就消失了。這些小工具只能對別的計算機(jī)做一些簡單的攻擊，黑客圈把這種利用小工具，簡單入侵的“菜鳥”稱為“腳本小子”。大多數(shù)的入門黑客可能都會停留在腳本小子的階段，不再向前。

馮梓在高二時，因為在學(xué)校打架被勸退?；丶液?，他天天在家里看書琢磨技術(shù)，終于有了一些進(jìn)步。但一開始，除了去攻擊其他黑客網(wǎng)站，偶爾參加諸如中越大戰(zhàn)這樣的國際網(wǎng)絡(luò)攻擊之外，他也不知道運(yùn)用自己的技術(shù)?！耙餐o趣的”，他說。他自己教過的徒弟中，有人因為入侵紅十字會網(wǎng)站被拘捕。作為黑客，他明白“任何行為都會留下痕跡，踩了紅線絕對會被抓的”。

之后，為了學(xué)習(xí)更多的計算機(jī)知識，馮梓去了一所軟件學(xué)院讀軟件專業(yè)，同時加入了一個叫網(wǎng)絡(luò)尖刀的大型民間安全組織。和網(wǎng)絡(luò)尖刀的其他成員一起，馮梓得到一個在修復(fù)論壇做兼職的機(jī)會，幫一些小網(wǎng)站抵抗黑客攻擊，修復(fù)網(wǎng)站。當(dāng)時正在讀書的馮梓平均每單收入幾百塊到幾千塊，每月能收入1萬到2萬元。

除了網(wǎng)站修復(fù)，馮梓也去烏云上提交漏洞。創(chuàng)辦于2011年的烏云曾是國內(nèi)最大的第三方漏洞平臺，可以接收和審核白帽黑客提交的漏洞并發(fā)放獎勵，同時將漏洞交予國家信息安全漏洞共享平臺備案，督促廠商修復(fù)漏洞。所有白帽黑客提交的漏洞都會在45天后被公布。這一機(jī)制既引起了媒體關(guān)注，也督促了很多原來對網(wǎng)絡(luò)漏洞不聞不問的廠商不得不領(lǐng)回漏洞并修復(fù)。

正是在烏云上提交漏洞，讓馮梓成了一家旅游類大型互聯(lián)網(wǎng)公司安全部門的負(fù)責(zé)人。進(jìn)入這家公司時，馮梓19歲，是公司技術(shù)部門最小且學(xué)歷最低的員工。和馮梓一樣，網(wǎng)絡(luò)尖刀團(tuán)隊里通過野蠻成長后進(jìn)入互聯(lián)網(wǎng)公司，專門負(fù)責(zé)安全部門的黑客不少。在找到這些白帽黑客之前，這些公司幾乎都沒有專職的安全人員。

1990年出生的曲子龍是網(wǎng)絡(luò)尖刀團(tuán)隊的核心創(chuàng)始人和運(yùn)營人。他坦承，網(wǎng)絡(luò)尖刀團(tuán)隊是一個備受爭議的團(tuán)隊，現(xiàn)有的270多名成員，尤其是早期成員里，大多數(shù)都是初高中學(xué)歷，完全通過自學(xué)才從“腳本小子”大軍里殺出一條血路，成為更嚴(yán)格意義上的黑客。實際上，在熊貓燒香病毒爆發(fā)時，正是中國全民使用黑客工具的時代，但2011年的中越黑客大戰(zhàn)后，國內(nèi)的很多黑客都走向了黑產(chǎn)、甲方公司或創(chuàng)業(yè)隊伍。網(wǎng)絡(luò)尖刀團(tuán)隊的許多“95后”成員則是在那次大戰(zhàn)后逐漸成長起來的新一代草根黑客。

這樣的草根黑客團(tuán)隊，因為做黑產(chǎn)或其他原因消失的不少。對于網(wǎng)絡(luò)尖刀，曲子龍說：“我不敢說網(wǎng)絡(luò)尖刀沒有成員出過事兒，但是我們沒有任何一個人做那種純大型黑產(chǎn)，或者非常違背道德的事。搞黑客的哪個手都不會干凈。”他說網(wǎng)絡(luò)尖刀能從2008年平穩(wěn)地發(fā)展到現(xiàn)在，是因為團(tuán)隊內(nèi)部嚴(yán)格的風(fēng)控系統(tǒng)，比如對成員進(jìn)行長期監(jiān)控后才能進(jìn)入核心團(tuán)隊，建內(nèi)部輿情系統(tǒng)反查成員，同時配備專業(yè)的法務(wù)團(tuán)隊，監(jiān)控成員動向，如果有成員出事了，可以及時跟進(jìn)處理。

在一家叫SECapability的安全公司做CTO的王侃說得更直白：“國內(nèi)現(xiàn)在黑白帽子很模糊，白天拿著漏洞平臺的獎，晚上賣著數(shù)據(jù);白天站在領(lǐng)獎臺上一臉校園的稚氣，晚上就在KTV左擁右抱?！?h3>黑客去哪兒

作為一個相對松散的線上團(tuán)隊，網(wǎng)絡(luò)尖刀現(xiàn)在主要以團(tuán)隊的形式與各類企業(yè)和單位合作，相對個人黑客，團(tuán)隊可以拿到更敏感的測試項目和更高的回報。但無論團(tuán)隊還是個人，都面臨著邊界模糊的法律問題。網(wǎng)絡(luò)尖刀團(tuán)隊遇到過的情況是，曾和國內(nèi)某大型電商網(wǎng)站合作，得到對方授權(quán)后進(jìn)行滲透測試，卻在測試過程中因為碰觸到敏感信息出了岔子。曲子龍強(qiáng)調(diào)，碰觸到敏感信息是為了測試漏洞，當(dāng)時只驗證了動作的可行性后就立即終止了，也向?qū)Ψ缴辖涣藴y試賬號，做了說明。但對方的業(yè)務(wù)部門還是報案了。

正是這些來自正邪雙方的風(fēng)險和誘惑，讓馮梓漸漸淡出了網(wǎng)絡(luò)安全行業(yè)，開始創(chuàng)業(yè)做反欺詐相關(guān)的項目。對他來說，純做黑客，無論白帽黑帽，都算不得一條好出路。他有時候也挺擔(dān)心那些新入行的小孩，來自黑產(chǎn)的誘惑很大，又沒什么經(jīng)驗，很容易踩雷。

19歲的郝萌則是另外的原因還在猶豫。和馮梓一樣，郝萌也是尖刀團(tuán)隊中的佼佼者，也是上初中時想給游戲開外掛撞進(jìn)了黑客圈。做了一段時間腳本小子后，開始學(xué)Web語言，練習(xí)挖漏洞，經(jīng)常拿到烏云平臺的漏洞獎勵，高中時一個月最高拿到過3萬元，大學(xué)時一個月最高拿到過10萬元，即使在烏云全站，這個水平也足夠引人注目。

因為喜歡挖漏洞，郝萌大學(xué)選擇了重慶工程學(xué)院的軟件專業(yè)，沒有選擇信息安全專業(yè)的原因是學(xué)校沒有設(shè)置這個專業(yè)。他周圍沒有黑客，老師也不懂網(wǎng)絡(luò)安全。他去打過CTF比賽，成績一般，因為他不擅長比賽的套路。目前為止，他只擅長挖Web漏洞，其他類型的漏洞都還在學(xué)期起步的階段。他說自己也不一定會持續(xù)做黑客。

但實際上，中國有黑客氣質(zhì)的安全人才又是缺乏的。根據(jù)上海交通大學(xué)信息安全工程學(xué)院院長李建華在2017中國網(wǎng)絡(luò)安全年會的報告，中國目前平均每年增長的安全人才不過兩三萬，但總需求量卻超過70萬，缺口高達(dá)95%。李建華還認(rèn)為勒索病毒背后表明，中國目前極缺源碼分析專業(yè)人才和一線運(yùn)維服務(wù)的安全人才。

與學(xué)院派看法不同的是，曲子龍并不覺得現(xiàn)在到了網(wǎng)絡(luò)安全市場崛起的風(fēng)口。從業(yè)接近10年，他接觸過很多互聯(lián)網(wǎng)企業(yè)，也接觸過大量的傳統(tǒng)企業(yè)和單位。甚至遇到過哭笑不得的案例。某次一個做企業(yè)的女士找到他們，簽了一個20萬元的合同，但具體做什么，并沒有說。因為是有朋友介紹的，曲子龍當(dāng)時就簽了。后來才發(fā)現(xiàn)，女老板是聽說他們是黑客，很神秘，想找他們幫忙調(diào)查自己的老公。曲子龍說，雖然互聯(lián)網(wǎng)企業(yè)現(xiàn)在強(qiáng)調(diào)的是系統(tǒng)層和代碼層的安全，比如系統(tǒng)是否有漏洞，但傳統(tǒng)企業(yè)和單位仍然只注意到業(yè)務(wù)安全的層面，比如發(fā)生了電信詐騙，能否幫忙溯源。

作為一個民間團(tuán)隊，在烏云平臺關(guān)閉后，網(wǎng)絡(luò)尖刀團(tuán)隊的活動比過去少一些，挖到合作伙伴公司的漏洞會提交，一些沒有合作公司的漏洞，即使發(fā)現(xiàn)了，也可能自己藏著，或者直接回收掉。至于素質(zhì)不好的人在缺錢的時候，會不會拿去賣給黑產(chǎn)，利用率有多大，曲子龍也說不好。勒索病毒事件發(fā)生后，國內(nèi)一線安全公司的股票通通飄了紅，但對曲子龍來說，認(rèn)準(zhǔn)風(fēng)口的人越多，圈子越混亂，矛盾就會越多。他得等這段混亂的時間過了，再回到市場。

（馮梓、郝萌和王侃均為化名）