如何成为一名黑客写在前面的话：虽然很多人都知道这篇文章，但是我相信还是有一部分人没有见到它，即便是你读过它，可我相信时不时找出来读一下还是会有不一样的想法，它就像是那口“奉天成仁”的箱子，时不时提醒你该加点兵器进去了.什么是黑客？Jargon File 包含了一大堆关于“hacker”这个词的定义，大部分与技术高超和热衷解决问题 及超越极限有关。但如果你只想知道如何 成为 一名黑客， 那么只有两件事情确实相关。这可以追溯到几十年前第一台分时小型电脑诞生, ARPAnet 实验也刚展开的 年代，那时有一个由程序设计专家和网络名人所组成的, 具有分享特点的文化社群。 这种文化的成员创造了 “hacker” 这个名词。黑客们建立了 Internet。 黑客们发明出了现在使用的 UNIX 操作系统。黑客们使 Usenet 运作起来， 黑客们让 WWW 运转起来。如果你是这个文化的一部分，如果你对这种文化有所贡献，而且 这个社群的其它成员也认识你并称你为 hacker, 那么你就是一位黑客。黑客精神并不仅仅局限在软件的黑客文化中。 有人用黑客态度对待其它事情，如电子学和音乐—— 事实上，你可以在任何最高级别的科学和艺术活动中发现它。 精于软件的黑客赞赏这些在其他领域的同类并把他们也称作黑客—— 有人宣称黑客天性是绝对独立于他们工作的特定领域的。 但在这份文档中， 我们将注意力集中在软件黑客的技术和态度， 以及发明了“黑客”一词的以共享为特征的文化传统之上。有一群人大声嚷嚷着自己是黑客，但他们不是。 他们（主要是正值青春的少年）是一些蓄意破坏计算机和电话系统的人。 真正的黑客把这些人叫做“骇客”(cracker)，并不屑与之为伍。 多数真正的黑客认为骇客们又懒又不负责任，还没什么大本事。 专门以破坏别人安全为目的的行为并不能使你成为一名黑客， 正如 用铁丝偷开走汽车并不能使你成为一个汽车工程师。 不幸的是，很多记者和作家往往错把“骇客”当成黑客； 这种做法一直使真正的黑客感到恼火。根本的区别是：黑客搞建设，骇客搞破坏。如果你想成为一名黑客，请接着读下去。如果你想做一个骇客，去读
新闻组，并在意识到你并不像自己想象的那么聪明后去坐五到十次监狱。 关于骇客，我只想说这么多。黑客应有的态度黑客们解决问题，建设事物，同时他们崇尚自由和无私的双向帮助。 要被他人承认是一名黑客，你的行为得体现出你好像具备了这种态度一般。 而要想做得好象你具备这种态度一般，你就得切切实实坚持它。但是如果你认为培养黑客态度只是一条在黑客文化圈中得到承认的路子， 那就大错特错了。成为具备这些特质的这种人对 你自己非常重要——有助于你学习，及给你提供源源不断的动力。 同所有创造性的艺术一样，成为大师的最有效方法就是模仿大师的精神—— 不仅从智力上，也要从感情上进行模仿。或许, 下面这首现代的禅诗很好的阐述了这个意思：
To follow the path:（沿着这样一条道路：）
look to the master,（寻找大师，）
follow the master,（跟随大师，）
walk with the master,（与大师通行，）
see through the master,（洞察大师，）
become the master.（成为大师。）嗯，如果你想成为一名黑客，反复读下面的事情直至你相信它们：1.世界上充满了待解决的迷人问题.做一名黑客会有很多乐趣，但却是要费很多气力方能得到的乐趣。 这些努力需要动力。成功的运动员从锻炼身体、超越自我极限的愉悦中得到动力。 同样，做黑客，你得能从解决问题，磨练技术及锻炼智力中得到基本的乐趣。如果你还不是天生的这类人又想做黑客，你就要设法成为这样的人。 否则你会发现，你的黑客热情会被其他分心的事物吞噬掉——如金钱、性和社会上的虚名。（同样你必须对你自己的学习能力建立信心——相信尽管当你对某问题近乎一无所知， 但只要你一点一点地试验、学习，最终会掌握并解决它。）2. 一个问题不应该被解决两次。聪明的脑袋是宝贵的有限的资源。当世界还充满非常多有待解决的有趣的新问题时， 它们不应该被浪费在重新发明轮子这类事情上。作为一名黑客，你必须相信其他黑客的思考时间是宝贵的——因此共享信息， 解决问题并发布结果给其他黑客几乎是一种道义，这样其他人就可以去解决 新问题而不是不断地忙于对付旧问题。(你不必认为一定要把你 所有的发明创造公布出去， 但这样做的黑客是赢得大家极度尊敬的人。卖些钱来养家糊口，租房买计算机 甚至发大财和黑客价值观也是相容的，只要你别忘记你还是个黑客。)3. 无聊和乏味的工作是罪恶。黑客（泛指具有创造力的人们）应该从来不会被愚蠢的重复性劳动所困扰， 因为当这种事情发生时就意味着他们没有在做只有他们才能做的事情—— 解决新问题。这样的浪费伤害每一个人。因此，无聊和乏味的工作不仅仅是 令人不舒服而已，而且是罪恶。作为一个黑客，你必须坚信这点并尽可能多地将乏味的工作自动化， 不仅为你自己，也为了其他人（尤其是其他黑客们）。(对此有一个明显的例外。黑客有时也做一些在他人看来是重复性或枯燥的工作 以进行“脑力休息”，或是为了获得某种技能，或是获得一些除此以外无法获得的 特别经验。但这是自愿的——有脑子的人不应该被迫做无聊的活儿。）4. 自由万岁。黑客们是天生的反独裁主义者。 任何能向你发命令的人能够迫使你停止解决令你着迷的问题， 同时，按照独裁者的一般思路，他通常会给出一些极端愚昧的理由。 因此，不论何处，任何独裁主义的作法，只要它压迫你和其他黑客，你就要和它斗到底。(这并非向所有权威挑战。儿童需要监护，罪犯要被看管起来。 如果服从命令得到某种东西比起用其他方式得到它更节约时间，黑客可以同意 接受某种形式的权威。但这是一个有限度的，有意的交易； 那种权威想要的个人服从不是你应该同意给予的。)权威喜欢审查和保密。他们不信任自愿的合作和信息的共享—— 他们只喜欢由他们控制的所谓“合作”。因此，作为一个黑客， 你得对审查、保密，以及使用武力或欺骗去压迫有行为能力的人们的做法有一种本能的敌意。 同时你要有为此信念斗争的意愿。5. 态度不能替代能力。作为一名黑客，你必须培养起这些态度。 但只具备这些态度并不能使你成为一名黑客，也不能使你成为一个运动健将和摇滚明星。 成为一名黑客需要智力，实践，奉献精神和辛苦工作。因此，你必须学会怀疑，并尊重各种各样的能力。 黑客们不会为那些装模做样的人浪费时间，但他们却非常尊重能力—— 尤其是从事黑客工作的能力，不过任何能力总归是好的。 具备很少人能具备的那些方面的能力尤其好，其中具备 涉及脑力、技巧和专注方面能力的当然最好。尊敬能力，你就会享受到提高自己能力的乐趣—— 辛苦的工作和奉献会变成一种高度娱乐而非苦差事。 要想成为一名黑客，这一点非常重要。黑客的基本技能黑客态度重要，但技术更加重要。 态度无法替代技术，在你被别的黑客称为黑客之前，有一些基本的技术你必须掌握。这些基本技术随着新技术的出现和老技术的过时也随时间在缓慢改变。 例如，过去内容包括使用机器语言编程，而直到最近才包括了HTML。 总的来说现在主要包括以下技术：1. 学习如何编程。这当然是最基本的黑客技能。如果你还不会任何编程语言，我建议你从Python开始。 它设计清晰，文档齐全，合适初学者入门。 它是一门很好的入门语言，并且不仅仅只是个玩具； 它非常强大、灵活，也适合做大型项目。 我有一篇 Python评价详细说明这点。好的 教程 可以在Python网站得到。 （译者：比较好的中文Python站点可能是。）Java也是好的入门语言。它比Python难得多，但是生成的代码速度也快得多。 它同时也是一种优秀的计算机语言，不止是用来入门。但是注意，如果你只会一两门语言，你将不会达到黑客所要求的技术水平， 甚至也不能达到一个程序员的水平——你需要学会如何以抽象的方式思考编程问题， 独立于任何语言。要做一名真正的黑客，你需要学会在几天内通过一些手册， 结合你现在所知，迅速掌握一门新语言。这意味着你应该学会几种截然不同的语言。如果要做一些重要的编程工作，你将不得不学习C语言，Unix的核心语言。 C++与C非常其他类似；如果你了解其中一种，学习另一种应该不难。 但这两种都不适合编程入门者学习。而且事实上，你越避免用C编程，你的工作效率会越高。C非常有效率，节约你的机器资源。不幸的是，C的高效是通过你手动做很多底层的管理 （如内存）来达到的。底层代码都是复杂极易出现bug的，会使你花极多的时间调试。 如今的机器速度如此之快，这通常是得不偿失——比较明智的做法是使用一种运行较慢、较低 效率，但大幅节省你的时间的语言。因此，选择Python。其他对黑客而言比较重要的语言包括 Perl和 LISP。 Perl实用，值得一学；它被广泛用于动态网页和系统管理， 因此即便你从不用Perl写程序，至少也应该学会看。许多人使用Perl的理由和 我建议你使用Python的理由一样，都是为了避免用C完成那些不需要C高效率的工作。 你会需要理解那些工作的代码的。LISP值得学习的理由不同——最终掌握了它时你会得到丰富的启迪和经验。 这些经验会使你在以后的日子里成为一个更好的程序员，即使你实际上很少使用LISP本身。当然，实际上你最好五种都会（Python，Java，C/C++，Perl和LISP）。 除了是最重要的黑客语言外，它们还代表了截然不同的编程思路和方法，每种都会让你受益非浅。这里我无法给你完完全全的指导教会你如何编程——这是个复杂的技能。 但我可以告诉你，书本和上课也不能作到（最好的黑客中，有许多，也许 几乎都是自学成材的）。 你可以从书本上学到语言的特点——只是一些皮毛， 但要使书面知识成为自身技能只能通过实践和虚心向他人学习。 因此要作到 （一）读代码及（二）写代码。学习如何编程就象学习用优美的自然语言写作一样。 最好的做法是读一些大师的名著，试着自己写点东西，再读些，再写点，再读些，再写点…… 如此往复，直到你的文章达到你体会到的范文的简洁和力量。过去找到适合阅读的好的代码是困难的，因为几乎没有大型程序的源代码能让新手练手。 这种状况已经戏剧性地发生变化；开放源代码软件，编程工具和操作系统（全都由黑客写成）现在已经 随处可见。让我们在下一个话题中继续讨论……2. 得到一个开放源代码的Unix并学会使用、运行它。我假设你已经拥有或者能使用一台个人电脑（今天的孩子们真幸福 :-) ）。新手们能够朝学习黑客技能迈出的最基本的一步就是得到 一份Linux或BSD-Unix的一种，安装在个人电脑上，并运行它。没错，这世界上除了Unix还有其他操作系统。 但它们都是以二进制形式发布的——你无法读到它的源代码，也不可能修改它。 尝试在运行DOS或Windows或MacOS的机器上学习黑客技术，就象是带着脚镣学跳舞。除此之外，Unix还是Internet的操作系统。 你可以学会上网却不知道Unix，但你不了解Unix就无法成为一名Internet黑客。 因此，今天的黑客文化在很大程度上是以Unix为中心的。（这点并不总是真的， 一些很早的黑客对此一直很不高兴，但Unix和Internet之间的联系已是如此之强， 甚至连Microsoft也无可奈何。）所以, 安装一套UNIX——我个人喜爱LINUX但还有其他种类的 （是的，你可以同时安装Linux及DOS/Windows在同一电脑上)。 学习它，使用它，配置它。用它在Internet上冲浪。阅读它的源代码。修改它的源代码。 你会得到比在Microsoft操作系统上更好的编程工具（包括C，LISP，Python及Perl）。 你会觉得乐趣无穷，学到在你成为大师之前意识不到的更多的知识。想知道更多关于学习Unix的信息，访问 The Loginataka。想知道如何得到一份Linux，访问 。 （译者：对于中文读者来讲，最简单的方式未过于前往附近的D版/正版光盘店。）你可以在 找到BSD Unix的求助及其他资源。我有写一篇关于 的入门文章。（注：如果你是一个新手，我不推荐自己独立安装Linux或者BSD。 安装Linux的话，寻求本地Linux用户组的帮助；或联系 。 LISC维护着一些 ， 在那里你可以获得帮助。）3. 学会如何使用WWW和写HTML黑客文化建造的大多东西都在你看不见的地方发挥着作用，帮助工厂、办公室和大学正常运转， 表面上很难看到它对非黑客的普通人的生活的影响。Web是一个大大的例外。 即便政客也同意，这个巨大耀眼的黑客玩具正在改变整个世界。 单是这个原因（还有许多其它的），你就需要学习掌握Web。这并不是仅仅意味着如何使用浏览器（谁都会），而是要学会如何写HTML， Web的标记语言。如果你不会编程，写HTML会教你一些有助于学习的思考习惯。 因此，先完成一个主页。（网上有很多好的教程； 。)但仅仅拥有一个主页不能使你成为一名黑客。 Web里充满了各种网页。大多数是毫无意义的，零信息量垃圾——界面时髦的垃圾， 注意，垃圾的水准都类似（更多信息访问 ）。要想有价值，你的网页必须有内容—— 它必须有趣或对其它黑客有帮助。这是下一个话题所涉及的……4. 如果你不懂实用性的英语，学习吧。作为一个美国人和一个以英语为母语的人，我以前很不情愿提到这点，免得成为 一种文化上的帝国主义。但相当多以其他语言为母语的人一直劝我指出这一点，那就是 英语是黑客文化和Internet的工作语言，你需要懂得以便在黑客社区顺利工作。这一点千真万确。大概1991年的时候我就了解到许多黑客在技术讨论中使用英语，甚至当他们的母语都 相同，英语对他们而言只是第二语言的时候；据我知道的报导，当前英语有着比其他语言丰富得多的技术词汇， 因此是一个对于工作来说相当好的工具。 基于类似的原因，英文技术书籍的翻译通常不令人满意（如果有翻译的话）。Linus Torvalds，一个芬兰人，用英语注释他的代码（很明显这对他来说不是凑巧）。 他流利的英语成为他能够管理全球范围的Linux开发人员社区的重要因素。 这是一个值得学习的例子。黑客文化中的地位象大部分不涉及金钱的文化一样，黑客王国靠声誉运转。 你设法解决有趣的问题，但它们到底多有趣，你的解法有多好， 是要由那些和你具有同样技术水平的人或比你更厉害的人去评判的。相应地，当你在玩黑客游戏时，你得认识到你的分数主要靠其他黑客对你的技术的评价给出 （这就是为什么只有在其它黑客称你为黑客时，你才算得上是一名黑客）。 这个事实常会被黑客是一项孤独的工作这一印象所减弱；也会被另一个黑客文化的禁忌所减弱 （现在逐渐减弱但仍强大）：拒绝承认自我或外部评估与一个人的动力有关系。特别地，黑客王国被人类学家们称为一种奉献文化。 在这里你不是凭借你对别人的统治来建立地位和名望，也不是靠美貌，或拥有其他人想要的东西， 而是靠你的奉献。尤其是奉献你的时间，你的创造和你的技术成果。要获得其他黑客的尊敬，基本上有五种事情你可以干：1. 写开放源代码软件第一个（也是最集中的和传统的）是写些被其他黑客认为有趣或有用的程序， 并把程序源代码提供给整个黑客文化使用。（过去我们称之为“free software （自由软件）”， 但这却使很多不知 free 的精确含义的人感到困惑。 现在我们很多人，根据搜索引擎网页内容分析至少有2：1的比率，使用“ ”software（开放源代码软件）这个词）。黑客王国里最受尊敬的偶像是那些写了大型的、好用的、具有广泛用途的软件， 并把它们公布出去，使得每人都在使用他软件的人。2. 帮助测试并调试开放源代码软件黑客也尊敬那些使用、测试开放源代码软件的人。 在这个并非完美的世界上，我们不可避免地要花大多数的开发时间在调试阶段。 这就是为什么任何有头脑的开放源代码的作者都会告诉你好的beta测试员 （知道如何清楚描述出错症状，很好地定位错误，能忍受快速发布中的bug， 并且愿意使用一些简单的诊断工具）象红宝石一样珍贵。 甚至他们中的一个能判断出哪个测试阶段是延长的， 哪个是令人精疲力尽的噩梦，哪个只是一个有益的小麻烦。如果你是个新手，试着找一个你感兴趣的正在开发的程序，做一个好的beta测试员。 你会自然地从帮着测试，进步到帮着抓臭虫，到最后帮着改程序。 你会从中学到很多，并且与未来会帮你的人结下友谊。3. 公布有用的信息另一个好事是收集整理有用有趣的信息做成网页或文档如FAQ列表，且让他们容易获得。主要技术FAQ的维护者受到几乎同其他开放源代码的作者一样多的尊敬。4. 帮助维护基础设施的运转黑客文化（还有Internet的工程方面的发展，就此而言）是靠自愿者运转的。 要使Internet能正常工作，就要有大量枯燥的工作不得不去完成——管理mail list，新闻组，维护大型软件库，开发RFC和其它技术标准等等。做这类事情的人会得到很多尊敬，因为每人都知道这些事情是十分花时间又不象编程那样好玩。 做这些事情需要奉献精神。5. 为黑客文化本身服务最后，你可以为这个文化本身做宣传（例如，象我这样，写一个“如何成为黑客”的正面的教程 :-) ） （译者：不知道Barret把它翻成中文算不算？）。 这并非一定要在你已经在这个圈子呆了很久，因以上四点中的某点而出名，有一定声誉后才能去做。黑客文化没有领袖。精确地说，它确实有些文化英雄、部落长者、历史学家和发言人。 若你在这圈内呆的够长，你或许成为其中之一。 记住：黑客们不相信他们的部落长者的自夸的炫耀， 因此大举追求这种名誉是危险的。与其奋力追求，不如先摆正自己的位置 等它自己到你的手中——那时则要做到谦虚和优雅。黑客和书呆子(Nerd)的联系同流行的迷思相反，做一名黑客并不一定要你是个书呆子。 但它确实有帮助，而且许多黑客事实上是书呆子。 做一个深居简出的人有助于你集中精力进行十分重要的事情，如思考和编程。因此，很多黑客都愿意接受“书呆子”这个外号， 更有甚者使用更尖刻的“geek（怪人）”一词并引以为豪—— 这是一种宣布他们独立于主流社会的声明方式。访问
参加更多的讨论。如果你能集中足够的精力做好黑客工作同时还能有正常的生活，这很好。 现在作到这一点比我在1970年代是新手的时候要容易的多； 如今主流文化对技术怪人要友善的多。 甚至有越来越多的人意识到黑客通常是很好的恋人和配偶的材料。如果你因为生活上不如意而迷上做黑客，那也没什么——至少你不会分神了。 或许以后你会找到自己的另一半。风格的意义重申一下，作为一名黑客，你必须进入黑客精神之中。 当你不在计算机边上时，你仍然有很多对黑客工作有帮助的事情可做。 它们并不能替代真正的编程（没有什么能），但很多黑客都那么做， 并感到它们与黑客的本质存在某些基本的连系。学会流畅地用母语写作。尽管程序员不能写好文章的错误看法相当普遍， 但是有令人惊讶数目的黑客（包括所有我知道的最棒的）都是不错的作家。阅读科幻小说。参加科幻小说讨论会。（一个碰到黑客和未来会成为黑客的人的好方法）学禅，并且/或者练功习武。（精神修炼看来是惊人相似。）练就能分析音乐的听觉，学会鉴赏特别的音乐。学会玩某种乐器，或唱歌。提高对双关语、文字游戏的鉴赏能力。这些事情，你已经做的越多，你就越是天生做黑客的材料。 至于为什么偏偏是这些事情，原因并不完全清楚， 但它们都涉及用到左－右脑能力的综合，这似乎是关键所在 （黑客们既需要清晰的逻辑思维，有时又需要偏离逻辑跳出问题的表象）。最后，还有一些不要去做的事情。不要使用愚蠢的，哗众取宠的ID或昵称。不要卷入Usenet（或其他地方的论坛）的骂战。不要自称为“cyberpunk（网络叛客）”，也不要浪费时间和那些人打交道。不要让你寄出的Email或张贴的帖子充满错误的拼写和乱七八糟的语法。做以上的事情，只会招来嘲笑。黑客们个个记忆超群—— 你将需要数年的时间让他们忘记你犯下的错误。网名的问题值得深思。将身份隐藏在虚假的名字后是骇客、解密者、d00dz 及其他低等生物幼稚愚蠢的行为特点。黑客不会做这些事； 他们对他们所作的感到骄傲，而且乐于人们将作品与他们的 真名相联系。 因此, 若你现在用假名，放弃它。在黑客文化里它会令你你失败的。原文作者：Eric Raymond—————————————————————————————————————————放个广告，老司机乘车点几年前读了《黑客与画家》这本书，我是一名涂鸦插画师，也是一名白帽子黑客。“杰出、优秀、正直、有底线的优秀人才，比如Hackers，他们不服从管教，不愿意委身于社会大环境的潮水之中而无法辨别方向。然而，很自负的人必须培养出敏锐的感觉，及时发现周围形式的变化，知道如何脱身。”——Paul Graham 《黑客与画家》我想通过此次live和大家聊聊如何系统的学习插画与涂鸦，零基础选手怎样入门插画和涂鸦，以及具有黑客精神的程序员如何从画画中吸收灵感。点击这里上车 →_→56943 条评论分享收藏文章被以下专栏收录我们是抵御黑暗的烈焰，守护王国的剑盾，惩奸除恶的侠客，尽忠职守，生死于斯。零基础，如何成为一名黑客? - 知乎<strong class="NumberBoard-itemValue" title="被浏览<strong class="NumberBoard-itemValue" title="6,491分享邀请回答有哪些值得关注的黑客会议？参加体验如何？www.zhihu.com对于刚刚入行的人来说，参加这些国际盛会或许有点难度，我们可以关注黑客大会的相关网站，留意行业前沿议题，看看世界上最顶尖的黑客都在做什么，对自己也是一种鼓励。也可以通过网络直播的方式观看黑客大赛，例如不久前刚刚结束的TCTF大赛就进行了全程网络直播，国内外众多黑客齐聚一堂，群雄角逐的场面让人振奋不已。TCTF 2018国际赛比赛区专业水平提高后，在比赛中升华自己。众所周知，黑客的名号从来都不是自封的，要有日积月累的成绩才能获得认可。除此之外，通过比赛来证明自己是一种比较好的方式，当你觉得自己的专业水平达到了一定高度，可以试着参加一些比赛，不仅能真正的检验自己的学习成果，也有机会和众多黑客现场切磋，TCTF大赛就是致力于发掘、培养有志于从事安全行业的年轻人的赛事平台。在今年5月26日结束的第二届TCTF大赛上，新人邀请赛冠军杭州电子科技大学的Vidar战队，即将通过这个比赛，踏上世界顶级黑客大会DEF CON之旅，并有机会参加今年首次在中国香港举办的AsiaSecWest全球顶级信息安全峰会，以及与DEF CON齐名的另一大安全极客盛会BlackHat，可谓打开了通向黑客帝国的大门，与世界顶级黑客面对面交流不在话下。TCTF 2018新人邀请赛冠军：杭州电子科技大学Vidar战队其实，在第二届TCTF大赛上取得优异成绩的几个战队，例如浙大AAA战队、复旦******（sixstars）战队、上海交大0ops战队，就是由腾讯在2017年首届TCTF上发起的“百人计划”所孵化的战队，他们在国内外大型赛事上也表现不俗。在第二届TCTF颁奖仪式上，腾讯安全宣布腾讯安全学院正式揭牌成立，与各大高校搭建校企合作体系，一方面通过高校安全公开课输出课程体系，发挥吴石、于旸（TK教主）、袁仁广（yuange）等顶级白帽黑客的研究能力；另一方面通过开展TCTF大赛，以赛代练，提升高校学子实战能力，打造一流安全人才发展与交流平台。成为一名出色的白帽黑客是一个漫长的过程，可能会有很多时刻让你想要放弃。但是，诸如TCTF这样的赛事，让目标变得具体，从而不再遥不可及。所以，让目标可见，然后慢慢触达，积跬步而至千里，积小流而成江海，成功最好的方法就是最笨拙的方法。更多腾讯安全联合实验室官方精品回答：1、2、3、4、5、6、7、8、161 条评论分享收藏感谢收起是“白帽黑客”，也是“技术痴汉”-微众圈
微众圈，我的微信生活圈！
是“白帽黑客”，也是“技术痴汉”
摘自公众号：发布时间： 23:02:42
黑客，手持技术利刃的神秘武者。 黑帽黑客用它为恶，图利走险；白帽黑客用它为善，行侠仗义。 每一个顶级的白帽黑客，都有年获千万的机会，只要他们投身黑产。但他们却“不思淫欲”，钻研漏洞，甘愿做一个“技术痴汉”。 他们拥有让女人破涕而笑的酷炫撩妹技巧，但却宅到骨髓里去，潜心修炼，背上“老光棍”的外号。 《鹅们》第8期，让我们走进腾讯“白帽黑客”的世界。 啃下“大补丸”和补丁赛跑的人 加拿大温哥华，灯光略为昏暗的房间里，笔记本电脑已经摆好，腾讯电脑管家网络攻防小组的“白帽黑客”坐在电脑前。 脸上没有太多表情，眼睛紧紧盯着屏幕，看不出紧张，也不苟言笑。 计时开始，屋子里的人都屏住了呼吸。 点击回车键，执行代码以肉眼看不见的速度跑了起来。3秒钟！ Adobe Flash Player被成功攻破！ Pwn2Own现场 这是世界顶级黑客大赛Pwn2Own的比赛现场。各路黑客尝试用各种“神技”，攻破微软edge、苹果safari、谷歌Chrome，Adobe Flash等主流浏览器及应用，并获得控制权限。 团队的“领头人”邓欣终于可以松一口气了。 五天前，Adobe最新发布的补丁，差点让他准备了一年的梦想破灭。 邓欣管它叫做“大补丸”。因为Pwn2Own比赛的国际影响力，微软、苹果、Adobe等厂商都会在赛前发布重要补丁，封堵黑客此前苦心发现的漏洞。 相比其他厂商，Adobe今年这颗超级“大补丸”来得有些迟。 从2015年上半年开始，邓欣团队就着手准备本次比赛，他们日常工作之一就是挖掘、分析和利用漏洞。 但从11月份开始，每次欣喜发现的Flash Player新漏洞，几乎都被在次月发布的“月经补丁”封堵上。 邓欣 邓欣成了不断与补丁赛跑的人。 他相信，没有无懈可击的系统，只要有足够的时间，总能发现新的漏洞。猴年春节前后，邓欣团队又准备了两套绝妙的攻击方案，等着3月16号Pwn2Own比赛的到来。 “只要有一套没被封住，就有机会。” Adobe2月份发布的补丁纯属小打小闹，邓欣团队的猴年春节过得还算顺心，但心里另一根弦却隐隐紧崩：Adobe可能在憋大招。 3月9日，本该定期而至的 “月经补丁”居然“莫名”推迟2天发布。 “我们一下子就蒙了。但厂商为了压缩选手时间，采取这种方法无可厚非”邓欣一边祈祷这颗久憋的“大补丸”覆盖不了他的两套方案，一边做着多手准备。 3月11日凌晨，团队盯着下载补丁的进度条，但等待他们的，是一个难以接受的结果： 两套方案全部覆灭。 120小时生死时刻勇夺黑客比赛冠军 “当时简直崩溃了”。 惊天的坏消息，让团队睡意全无，早早回公司开会商量对策。 此时，距离比赛开始不到120小时。中间还有周末、以及飞往温哥华的路途耽搁。 所幸，他们其中一个方案，经过修改验证仍然可行。但是，这个方案并不完美，因为整个攻击过程会持续11秒，方式也较为传统、笨拙。 邓欣跟团队说：把这个方案做为备选，然后接下来的时间来试着寻找最好的攻击方案。 乱拳打死和一剑封喉，他更喜欢优雅的后者。 周六日两天的熬夜加班，他们终于有了新思路。 周一飞往温哥华比赛的飞机上，键盘声噼里啪啦，这套优雅的新方案飞机抵达前有了雏形，并在酒店最终完工。 于是，有了文章开头3秒攻破flash的那一幕。
同一架飞机上，同样经历了多次“大补丸”，不断返工的陈良也在做着最后的调试。 和邓欣团队一起，以陈良为主攻手的科恩实验室被混编为“腾讯安全Sniper”战队和“腾讯安全Shield战队”。其中，陈良团队专破微软Edge、苹果Safari，邓欣团队则主攻Adobe，他们把最有把握的攻击方法都放在了Sniper战队。 腾讯Sniper战队也不负众望，以38分的积分排名第一获得本界比赛的冠军，并获得了Pwn2Own首次设立的 “破解大师”（Master of Pwn Awarded）的荣誉称号。 比赛结束后，陈良像武侠片里完成一次长期运功后，长吁了一口气，在朋友圈发了一句“结束收工！” 懂得攻击是为了能更好的防守 与邓欣相比，陈良的比赛经验更加丰富一些。 信息安全专业出身的他，刚毕业时有幸进入了微软安全响应中心（简称“MSRC”，微软向白帽黑客提供的一个提交漏洞的渠道）实习。陈良当时负责对接中国区域的白帽黑客。 研究漏洞是一个入门难、精通更难的学问。关于编程类的书籍可能很多，但研究漏洞却寥寥可数。 在MSRC，陈良能第一时间接触到宝贵的一手漏洞资料，同时也与中国顶尖的白帽黑客建立了良好联系，其中包括他的良师益友――世界级大神“白帽黑客“，现腾讯科恩实验室的负责人吴石。 陈良 陈良后来与吴石等人加入了KeenTeam（腾讯科恩实验室前身），并于2013年年初参加Pwn2Own。 要知道，这是2007年赛事创立以来，第一次有亚洲团队参与竞争，他们的对手包括第一个破解PS3的人、第一个写出iOS越狱的人。 曾经仰视的大神，如今平视对战，第一次参赛的陈良输给了年轻和压力。 “心理压力非常大，很想证明中国白帽黑客的实力”陈良回忆，最困难的时刻，吴石经常给他们鼓励“如果人人都像我们这种心态，中国永远不可能会成功。”
2013年底移动端的Pwn2Own比赛再次来袭，陈良精心准备了一套攻击iOS7漏洞的方案。 成败关键一役，他手指微颤，按下执行代码的回车键，成功破解！ “给我们的鼓舞非常大，外国人可以做到的事情，我们中国人同样可以做到。”这是陈良、邓欣、也是腾讯参加Pwn2Own的意义之一。
“懂得攻击，才能更好的防守。” 采访中，陈良、邓欣均提到这一句话。 研究漏洞（包括挖掘、分析、利用漏洞）本来就是他们的日常工作，他们总结并输出核心方案反馈给厂商和产品（如腾讯电脑管家、腾讯手机管家、QQ、应用宝等），去做更大规模适用和推广。 以电脑管家为例，它与病毒木马的对抗，每天都在发生。不法分子会想尽办法，让制作的病毒木马不被电脑管家查杀出来；而邓欣团队，则制定执行方案最大化地检测出病毒木马，同时不造成误杀。 邓欣要与躲在暗处的不法分子作对抗 当有厂商的漏洞被公开，深谙攻击方法的他们，能够第一时间通过产品输出防御机制，保护用户安全。 “参加比赛，可以在这个基础上展示公司的安全实力。“ 痴迷技术“不思淫欲”的老光棍 网络上关于黑客的新闻报道曾满天飞舞： 8岁黑客神童用1分钱在一家网站买了2500块钱商品； 知名黑客将麻省剑桥大学最高的建筑Green Building的灯光，变成了一个超大号的俄罗斯方块游戏； 俄罗斯黑客破解了ATM机，居然不为“ATM机不间断吐钱”，而是在ATM机上装上《愤怒的小鸟》游戏并玩了起来...... “黑客”是不是真的可以出入任何网站，如入无人之地？ 在这个称号加持下，陈良、邓欣也无数次接收过这样的疑问。而运用技术的力量，他们确实可以完成一些常人难以实现的事情。 陈良在腾讯内部进行安全分享 大学时期，陈良出于研究兴趣，曾把付费的Photoshop软件破解了，供自己个人免费使用。同班的另一位同学，黑了学校教务处的网站，替换成向女友庆生的页面（因此被开除了）。 在刚刚结束的GeekPwn（澳门站）大赛上，邓欣团队给“受害者”发送了一个恶意的pdf文件，当这个pdf文件被打开，“受害者”电脑、摄像头就被控制，瞬间现场大屏幕播放起了被破解Surface摄像头所拍摄的画面。 邓欣团队控制Surface摄像头 “理论上，用大楼的灯光打俄罗斯方块是可以实现的，只要控制系统与外部相连接。”邓欣说，但实际工作中，他们并不做这些“炫技”的事。 平日里，他们是一群不折不扣的IT男，宅且不善言辞。每天的主要工作就是阅读各类研究漏洞的文章，写代码或者完善挖掘漏洞的工具，与世界各地的黑客交流、分享。 偶尔，他们也会做一些测试。比如进行wifi安全项目时，他们制作一些假冒wifi，“诱引”同事连接上，然后获取同事的信息，再开玩笑地向他揭蛊――“你中招了”。 邓欣说团队不爱拍照，趁着采访时摄影师在，顺便拍了。 吴石称他们为“老光棍”。痴迷技术，甚至“不思淫欲”，他们中的部分人，练就了肉眼识别漏洞的独门绝技。 面对一堆汇编代码，他们从来不觉无趣。 当他们发现一个可以利用的高级漏洞时，马上变得欣喜若狂，开始想一些创新方法去突破限制。“一旦攻破，非常有成就感”。 “黑客给大家一种神秘、厉害的样子，这种形象可能更加偏向黑帽黑客；白帽黑客做漏洞研究，对于外人来说，还是非常枯燥的”陈良说。 黑与白不可逾越的界线 黑帽与白帽最大的区别，便是利益。 同样手持一把技术的利刃，用在何处成为黑与白的分水岭。 白帽重在研究，一旦发现漏洞进行反馈以及布置防御机制。黑帽则不断进入各种系统空隙，窃取数据倒卖、攻破网站示威、甚至盗取一些企业的商业秘密…… 腾讯哈勃全网威胁监控平台 实时监控图 过去短短一年中，国内关于用户隐私信息被窃取的事件频频发生。 例如，遍布19个省份的社保系统相关信息泄露达 5279.4万条，其中包括个人财务、薪酬、房屋等敏感信息；某大型快递被黑客入侵系统，3万多条包含客户信息的快递单遭到泄漏...... 这些骇人听闻的“战绩”背后，是一群以拖库、洗库为生的黑客。他们如幽灵般潜行在互联网的水面之下，从不露面，却比冰山和暗礁还要危险。 黑帽黑客通过入侵有价值的网络站点，盗走用户数据库（即“拖库”），然后在黑市上将有价值的用户数据变现交易（即“洗库”）。 其他黑产分子可以根据数据，再在其他网站上进行尝试登陆（即“撞库”），因为很多用户喜欢使用统一的用户名密码，一旦一个网站遭泄，往往会导致连环遭殃。 黑帽黑客，相当于整个黑产行为的发端，也是黑产团伙的“核心竞争力”。 因此，获取的钱财利益也远高于白帽黑客。有媒体称，顶级的黑帽黑客年收入超过1000万。 白帽黑客身处这个行当，利诱非常多。 一个可利用的系统漏洞，就可以换来大笔金钱，只要愿意将漏洞卖给黑产行业。
曾经也有涉黑软件被腾讯电脑管家查杀，通过间接渠道找到邓欣团队，请求放他们一马，并许诺给一定的好处，邓欣压根不予理踩。 邓欣说，不管是白帽黑客，还是安全从业者，绝大多数人已经跟黑产划清界线。“自己的底线原则会绕不过去，比如你通过这件事情可能挣了1000万，可能你会内疚一辈子”。 他们身上有一种道德偏执，从事安全行业并不是为了钱。非黑即白，绝对泾渭分明。 作为科恩实验室的负责人，吴石在选才时也要求根正苗红：“最关键是他的兴趣爱好只在技术上，对物质追求没那么高，比较纯粹，爱好安全行业”。
独行侠的时代或已过去 行侠仗义，避免厂商及用户的利益受损，“白帽黑客”也越来越得到这个行业的认可和尊重。
2015年 ,在拉斯维加斯召开的黑客盛典上，微软用巨幅背景墙列出为微软安全做出巨大贡献的TOP100黑客贡献榜。
名列TOP2的Tombkeeper（腾讯玄武实验室负责人，江湖人称“TK教主”）在微博上感慨：微软这十几年来，（对待黑客）从敌视对抗到合作尊重，是整个业界对安全研究者态度转变。 确实，在各家厂商未成立SRC之前，白帽子发现漏洞的意义很局限，向网站或厂商报告漏洞的途径少之又少，有部分索性在自己的博客里公布，也有极少数将它卖给了黑产，这加深了厂商与黑客的对立与误解。 2005年前后，谷歌、Facebook、微软等外国互联网公司制定了SRC应急响应机制或者漏洞奖计划，鼓励了安全测试人员与企业一道维护系统安全。 而当时，国内主要还是通过外部报告搜集漏洞。 2012年3月底，腾讯在处理完一个外部报告的严重安全漏洞之后，时任腾讯CTO张志东给安全团队发了一封Email：“这个漏洞很严重，公仔不足以表达我们的感谢。我有一个建议...”。 于是，在2012年5月，腾讯安全应急响应中心TSRC（Tencent Security Response Center）成立，成为中国首家企业自建漏洞收集平台，反馈、评分、奖励、沟通机制也逐渐健全，并在“WitAwards 2015互联网安全年度评选”中荣获“最佳SRC”荣誉。 TSRC举行颁奖典礼，向白帽黑客致谢 开放的态度聚拢一大批白帽黑客和独立安全研究者。 许多技艺精湛的白帽黑客，被厂商吸纳成为安全团队的一员。 以Pwn2Own的比赛为例，近几年频繁参赛并获奖的三个国际白帽黑客，就分别加入微软、谷歌和苹果的安全团队。 在与国内“白帽黑客”亲密接触一段时间后，腾讯的安全团队正在尝试一个更为开放、自由空间更高的合作模式――成立相对独立的“安全实验室”。 白帽黑客告别以前单打独斗的状态，团队成员可以分工协作，从各个擅长的角度和技术手法来挖掘系统漏洞，只需要将精力聚焦在研究上。 而且没有具体的考核指标和任务，还拥有独立的资源设备以及各种后勤支援。 这种模式下，已经吸引包括 “TK教主”（领衔玄武实验室）、吴石（领衔科恩实验室）、“yuange1975”袁哥等国内诸多顶尖“白帽黑客”加盟。 陈良、邓欣等生力军也在此获得长足成长。 他们曾多次发现产品漏洞，获得微软、联想、Adobe世界知名厂商的公开致谢。 他们也不断通过技术反哺腾讯丰富的产品线，在提升安全能力同时，也开始在一些前沿科技安全的研究上进行突破。 腾讯第一时间解读鹅厂最新动态独家放送内部爆料互动福利长按识别二维码→马上关注
微信号：tencent_blackboard