在Lamo攻擊過(guò)的名單上包括雅虎、花旗銀行、美國銀行等，白帽子這么干是合法的，因為他們受雇于公司，但是 Lamo 這么做卻是犯法的。”在一本介紹國外信息安全的雜志上，Adrian Lamo 被譽(yù)為世界五大黑帽子黑客。在他的“戰績(jì)”上，包括65000美元的罰款，一級六個(gè)月的家庭禁閉和緩刑。
Lamo 的困境是全球Hacker(黑客)們的縮影。在中國，上個(gè)世紀90年代開(kāi)始，以著(zhù)名的紅客聯(lián)盟、中國鷹派聯(lián)盟、中國黑客聯(lián)盟三大黑客組織為主力軍，中國第一批觸網(wǎng)的年輕人中開(kāi)始分化出一個(gè)獨特的團體——Hacker，并因中美黑客大戰而名聲大噪。
近20年之后，當初因一腔熱血挺身而出的“黑客英雄們”大多退隱江湖，而攻擊技術(shù)門(mén)檻的降低，和因此而造成的信息泄露，已經(jīng)形成一條完整的產(chǎn)業(yè)鏈，威脅著(zhù)每個(gè)人的隱私和安全。在人們的認知中，黑客漸漸失去了其英文Hacker的本意——擅長(cháng)IT技術(shù)的計算機科學(xué)家，而變成職業(yè)破壞者的代名詞。
其實(shí)，傳奇依然在。一些技術(shù)高手開(kāi)始專(zhuān)門(mén)幫網(wǎng)站尋找漏洞，他們有了另一個(gè)稱(chēng)號——“白帽子”，還有一些人依然醉心于攻破世上最堅固網(wǎng)絡(luò )堡壘，Lamo 做過(guò)的事情，他們都想過(guò)，也都做到過(guò)，但不愿為人所知，他們仍堅持叫自己Hacker。
70、80、90，中國三代Hacker們走著(zhù)不同的路。他們的名字叫Hacker。
70后 寂寞的高手
上世紀90年代，在那個(gè)上網(wǎng)都需要用撥號解調器的年代，一名醫科大學(xué)學(xué)生抓緊時(shí)間在網(wǎng)上下載關(guān)于信息安全的技術(shù)研究報告。他生怕網(wǎng)絡(luò )不知在什么時(shí)候會(huì )斷，所以在紙上密密麻麻寫(xiě)下了要搜索和下載的最新信息內容。
這位當年醫科大學(xué)的學(xué)生如今已是安全界響當當的“TK教主”，是國內Hacker圈為數不多的傳奇之一。在人們印象中，黑客通常都有點(diǎn)神經(jīng)質(zhì)、獨來(lái)獨往、憤世嫉俗，可電話(huà)那頭的TK卻語(yǔ)速平緩、講話(huà)斯文，在被問(wèn)到國內信息安全水平與國外的差距時(shí)，他用了“越來(lái)越接近”的評語(yǔ)，而不愿給出一個(gè)明確的、尖銳的回答。這位醫科出身、中國最早從事信息安全研究的教主級人物，更像是一位資深的學(xué)者，沉迷于安全領(lǐng)域的研究。
70后生人的TK，頭頂上有一系列光環(huán)：公安部奧運會(huì )信息網(wǎng)絡(luò )安全指揮部技術(shù)專(zhuān)家、CNCERT奧運信息安全保障小組技術(shù)專(zhuān)家、微軟漏洞緩解技術(shù)繞過(guò)懸賞十萬(wàn)美元大獎全球兩個(gè)獲得者之一，國內第一份對蠕蟲(chóng)帶來(lái)的新型安全威脅做出多角度分析報告也正是出自他之手。深厚的技術(shù)積淀，來(lái)自于每個(gè)月只有90 元的飯費，和一摞一摞用所有生活費買(mǎi)回來(lái)的技術(shù)書(shū)籍。
準醫生畢業(yè)后，TK并沒(méi)有成為一名“白衣天使”，而是進(jìn)入了當時(shí)國內為數不多的安全企業(yè)，收入起點(diǎn)8000元。20世紀初，國內很少有人理解信息安全究竟是什么。為了省事，TK介紹自己工作時(shí)，直接說(shuō)是搞計算機的，在很長(cháng)時(shí)間內，他都被誤認為就是個(gè)裝電腦的。他也懶得解釋?zhuān)谒磥?lái)，安全領(lǐng)域研究本就寂寞。
此后，TK進(jìn)入騰訊，創(chuàng )辦了自己的玄武實(shí)驗室，收入不菲，看似功成名就，但他至今都認為，當時(shí)“改行”從未想過(guò)任何物質(zhì)的回報，做安全研究，即便有高收入，很多人都未必“做得了”和“愿意做”。
80后 “攻防大戰只是小說(shuō)”
2002年4月，中國互聯(lián)網(wǎng)協(xié)會(huì )公告制止有組織的攻擊行為。紅盟至此一蹶不振，最早一批的Hacker，或是放棄，或是進(jìn)入科技公司，在隨后慢慢升溫的互聯(lián)網(wǎng)中謀得一席之地。但也有一些人，愿意堅守Hacker初心，過(guò)著(zhù)不為人所知的雙重生活。
H的本職工作是一家打印機店的老板，他人生另一面則是一位資深的Hacker。他用本職工作賺來(lái)的錢(qián)，換取獨立研究的資金支持和空間。H每天用十幾個(gè)小時(shí)研究開(kāi)發(fā)防御工具，然后第一時(shí)間放到安全社區或論壇的平臺上，免費向所有人開(kāi)放。他很認真地認為，“收錢(qián)豈不是沒(méi)人用了”，他并不打算用此來(lái)養活自己，研究出能否防止攻擊的工具比獲得金錢(qián)更有意義。
H并不習慣自己被稱(chēng)為 “白帽子”，在他看來(lái)，這個(gè)來(lái)源于國外的“White Hat Hacker”的稱(chēng)呼，間接等同于“挖漏洞”的代名詞。“每天刷垃圾漏洞還搞什么研究?”真正的Hacker圈，沒(méi)有人們想象中攻防對抗的激烈，沒(méi)有進(jìn)入系統竊取信息的刺激，更多的是潛心工程技術(shù)的搭建與研究。他們要解決的并不是一兩個(gè)漏洞，而是系統性的安全問(wèn)題，“攻防大戰不過(guò)是媒體賦予的小說(shuō)情節。”H說(shuō)。
90后 靠挖漏洞就業(yè)
與低調的70后、80后相比，新生代的Hacker則高調許多。李超(化名)是新疆某中學(xué)高中生，這位1997年出生的年輕人，已經(jīng)擁有了不下十年的黑客經(jīng)歷。當記者找到他時(shí)，他爽快地答應了采訪(fǎng)，毫無(wú)芥蒂地講了他的“成長(cháng)故事”。因為小時(shí)候的一個(gè)游戲賬號被盜，李超氣憤之余便開(kāi)始自學(xué)盜號技術(shù)，也偷偷盜過(guò)別人賬號，后來(lái)才慢慢發(fā)展成挖漏洞，現在他在補天平臺上已挖了400多個(gè)漏洞。
在烏云團隊聯(lián)合創(chuàng )始人孟卓看來(lái)，用安全技術(shù)來(lái)“炫技”是不少90后加入安全團隊的重要推動(dòng)力之一。鄧煥，360補天團隊的技術(shù)人員，高中時(shí)期，他曾入侵過(guò)學(xué)校的網(wǎng)站，去網(wǎng)吧，也會(huì )搶占整個(gè)網(wǎng)吧的管理權限，不僅讓自己享受免費上網(wǎng)“特權”，還能順便看到網(wǎng)吧里每一個(gè)客人所瀏覽的內容，為了秀技，他還會(huì )在臨走時(shí)把全網(wǎng)吧的電腦重啟，“然后在一片驚呼聲中揚長(cháng)而去”。上大學(xué)后，鄧煥破解了學(xué)校的網(wǎng)絡(luò )計費系統，不僅僅是為了免費上網(wǎng)，還能順便把學(xué)校里的各個(gè)系統都入侵一遍。為此，他曾在課堂上被系主任和輔導員“請”去談話(huà)……
這樣的故事，似乎更符合人們對Hacker們擁有某種神通的想象。
如今，類(lèi)似烏云、補天這樣公益性質(zhì)的漏洞舉報平臺上，聚集了越來(lái)越多年輕的Hacker，據統計，烏云上的白帽子達到1.1萬(wàn)個(gè)，補天上民間“挖洞”團隊也達數百個(gè)。這基本代表了國內“活躍”的白帽子總數。
深度閱讀
從黑到白的中國安全界
用TK的話(huà)說(shuō)，比起自己那個(gè)年代，如今的安全圈已經(jīng)發(fā)生了翻天覆地的變化。幾個(gè)月前，國內兩家安全企業(yè)為究竟是誰(shuí)在那場(chǎng)著(zhù)名的國際安全賽事中獲得真正的第一爭得面紅耳赤;而在接下來(lái)的幾個(gè)月中，國內還將有不下五場(chǎng)關(guān)于信息安全相關(guān)的比賽、論壇、交流活動(dòng)陸續舉行。2014年2月27日,中央網(wǎng)絡(luò )安全和信息化領(lǐng)導小組宣告成立,信息安全上升為國家戰略之后，Hacker圈開(kāi)始了異乎尋常的熱鬧。
從“被歧視”到“被挖角”
2002年以后，不少Hacker們都曾經(jīng)度過(guò)一段月收入不足3000元、因“黑客”而備受“歧視”的黑暗時(shí)期。那個(gè)時(shí)候，國內安全領(lǐng)域沒(méi)有巨頭公司，每個(gè)頂尖的Hacker都像散落的棋子。
如今，“一個(gè)有5年以上經(jīng)驗的高水平白帽子，基本都可以拿到50萬(wàn)以上的年薪。”孟卓透露。 楊卿，國內某安全平臺的負責人。10年前入行時(shí)，他作為一名負責WEB業(yè)務(wù)安全測試工程師的收入僅2500元，幾乎不到一名技術(shù)開(kāi)發(fā)人員收入的一半，哪怕是在阿里巴巴這樣的互聯(lián)網(wǎng)企業(yè)。在他周?chē)?，很少有人愿意從事安全。即便進(jìn)入這一領(lǐng)域，就業(yè)范圍也很狹窄，“安全公司大多是乙方，只有甲方公司出現安全問(wèn)題，才會(huì )想到安全人員。”
如今，白帽子的收入今非昔比。普通安全技術(shù)人員一進(jìn)入互聯(lián)網(wǎng)公司的起薪可達到十幾萬(wàn)元。即便是“民間組織”，全靠挖漏洞也能獲得豐厚報酬，因為有互聯(lián)網(wǎng)公司在網(wǎng)上公開(kāi)為自己的漏洞懸賞。
李超如今每個(gè)月挖漏洞的收入是1萬(wàn)元左右，在他們圈子內，如果找到高質(zhì)量的漏洞，一個(gè)月能賺五六萬(wàn)元。“BAT這樣的金主給的報酬也比較高。” 盡管還沒(méi)考大學(xué)，李超已經(jīng)決心要進(jìn)入安全領(lǐng)域。
收入上升，吸引著(zhù)越來(lái)越多年輕人加入安全領(lǐng)域。楊卿告訴記者，隨著(zhù)工具下載的便利，成為白帽子的門(mén)檻已經(jīng)相當低了，保守估計，國內具備尋找簡(jiǎn)單網(wǎng)絡(luò )漏洞能力的人，起碼在10萬(wàn)以上。
圈里人通常將Hacker分為四個(gè)層次：最底層的被稱(chēng)為“腳本小子”，他們沒(méi)有工具研發(fā)能力，只能夠利用別人的腳本進(jìn)行攻擊，這部分人占到目前白帽子整體人群的90%以上;第二層Hacker有安全理念、具備代碼審計和安全攻防能力;第三層，不僅有自己的想法，也具備工程化的能力，可以利用自己的開(kāi)發(fā)工具深入挖掘漏洞，能達到這一層次的Hacker，國內不足千人。再往上，就是能夠思考安全的本質(zhì)，提出完整安全解決方案的Hacker。能到這一層次的都是行業(yè)精英，國內能有五十個(gè)就不錯了。盡管像BAT這樣的互聯(lián)網(wǎng)公司為這些人開(kāi)出百萬(wàn)元以上的年薪，卻依然很少有人能做到。
就在接受《IT時(shí)報》記者采訪(fǎng)前不久，H剛剛拒絕了來(lái)自互聯(lián)網(wǎng)巨頭之一的邀請，他說(shuō)自己有小伙伴進(jìn)了那里的安全團隊，每天都心系“整個(gè)國家的信息安危”，這樣大的“壓力”讓他有點(diǎn)受不了。他更喜歡自由，但同時(shí)也承認，在國內真正算得上Hacker中的頂尖人物，能夠做到完全獨立又能養活自己的很少，“太多人都耐不住寂寞。”
最大對手是名利
國內頂尖人才少，關(guān)鍵不在錢(qián)少，而是在錢(qián)太多。“因為起步較晚，我們之前與國外頂尖Hacker的技術(shù)差距有十年，但現在看來(lái)，這一差距并沒(méi)有縮小。”
對于Hacker圈來(lái)說(shuō)，最大的對手并不是黑客犯罪者，而是“名利”。“我們中的很多人都舍不下名利，放棄了最初的鉆研。加入BAT的大圈，加入了所謂組織聯(lián)盟的建設中。”H說(shuō)。W是國內最早一批進(jìn)入安全圈的Hacker，在當時(shí)的Hacker團隊中，他絕對屬于頂尖高手。但隨著(zhù)名氣越來(lái)越大，最終，他離開(kāi)了團隊，獨立搭建了安全平臺，但也從那個(gè)時(shí)期開(kāi)始，他再也沒(méi)有在論壇上發(fā)表過(guò)任何安全技術(shù)的研究報告，而是經(jīng)常亮相于各種活動(dòng)中。
“一些優(yōu)秀的白帽子進(jìn)入了BAT和360等大型互聯(lián)網(wǎng)公司后，由于各種限制變得越來(lái)越封閉，技術(shù)就停留在一定水平再也無(wú)法突破了。”據一位業(yè)內人士透露，目前一批頂尖Hacker高手已悄然被BAT三家巨頭收入門(mén)下。這對于行業(yè)發(fā)展形成新格局的同時(shí)，也帶來(lái)一定制約。
