浅友们好~我是史中，我的日常生活是开撩五湖四海的科技大牛，我会尝试各种姿势，把他们的无边脑洞和温情故事讲给你听。如果你想和我做朋友，不妨加微信（shizhongmax）。
小时候，我经常会对着一棵高大的杨树发呆，把它当成爸爸，给他讲我这一天的生活。我知道，在这个世界上可能有很多小孩像我一样，因为种种原因爸爸没办法陪他们长大。但我却怀抱一个小小的慰藉。爸爸生前曾经是一名受尊敬的记者，在我慢慢长大的日子里，时常在家乡很多德高望重的人口中听到有关他的故事，于是他的形象并未被残酷的时间溶解，反而像显影液中的照片一样慢慢清澈。不久前，爸爸曾求学的老杭大（浙江大学）发表了一篇纪念他的文章，文字里回忆了他生前的过往点滴，其中提到他有一个独生子，现在应该二十多岁了，不知道他的儿子是否会继承他的衣钵，也成为一名记者。在混沌的学生时代，我迷上了爸爸书架上的《金庸全集》，每天热血沸腾地幻想自己行走在江湖。我把和我一样的“热血少年”当做对手，战斗的方式也简单粗暴，用拳头说话。喜爱打架引发了妈妈对我前途的强烈担忧，久而久之连我自己也坦然接受了“坏孩子”这个标签。2017年高中毕业时的我，早已厌倦了真实世界的“武林纷争”，想要换一个技术含量更高一点的战场。于是我报考了杭州师范大学计算机专业。平凡的学校，适合无奇的我。但从开学典礼的领导讲话中，我意外得知自己居然有一个很不平凡的校友——马云。那个寒假过年回到金华老家，一群亲戚听说我上了杭州师范，马上竖起大拇指：“那你将来肯定能去阿里巴巴！”我当然不会傻到相信校友身份会让我更容易进入阿里巴巴，而长辈这么说也很可能只是出于客套。但那一瞬间我隐约感到被命运女神投以一瞥，这种注视轻柔、转瞬即逝，但又确凿无疑。彼时的我无暇顾及这些细碎的感受，毕竟面前还有很多具体问题要解决。比如，电脑是一个大学生，尤其是计算机专业大学生的必备武器。闯荡新江湖，我需要买一台趁手的“神器”。我寻思，黑客用的电脑肯定是最炫酷的，于是灵机一动在知乎里输入：“黑客都用什么电脑？”一篇《文章》跳出来，讲的正是在一次白帽黑客大赛上黑客用什么电脑。（后来我才知道这是中哥发在浅黑科技上的）诶，我突然被一个更牛X的事实吸引——原来这世界上还有专为善良的黑客准备的比武擂台，这东西叫“CTF”。在 CTF 的世界里，你可以摆脱沉重的肉身，化身衣锦夜行的侠客，身背一把代码铸成的利剑，惩恶扬善，扫尽人世不公，这太TM优雅了。我愿意用一个亿换自己成为 CTFer，如果我有一个亿的话。。。这大概是一个缥缈的幻想，就像我曾幻想自己在 NBA 赛场上驰骋一样。负责网络安全的刘雪娇老师突然在群里问，有没有谁对 CTF 感兴趣？此时我才知道，原来学院里曾经有过自己的 CTF 战队，但是因为各种原因已经停办了两年，但刘老师却不甘心，梦想有朝一日把战队再组建起来，重新杀回江湖。踏破铁鞋无觅处，这简直是上天眷顾，几乎是看到消息的下一秒，我就热血上涌，回复报名了。冲动之后，我惊诧地发现身边的人一如既往地冷静。。。突然间，我面前摆着两个迫切的任务：第一，磨练出和队长这个称号相称的白帽黑客武艺；第二，找到我的队员，减轻光杆司令的尴尬。我开始埋头苦练 CTF 赛题。练着练着，一片乌云慢慢笼罩过来：白帽黑客世界好像没有我想象得那么酷。至少从观赏性上来说，根本不是刀光剑影暴土狼烟的样子。这么说吧，如果你坐在对面，看到的我就是对着屏幕一行一行地看代码敲代码，和一个木讷的程序员似乎没什么区别。但一边是刘老师热切的目光，一边是队长的责任，我好像并无退路。。。于是我硬着头皮继续做题，参加一些“草根”的 CTF 比赛，就这样几个月过去，我开始意识到自己的“生理变化”——绞尽脑汁找到漏洞攻入目标网站的一瞬间，一种全身通透的舒爽会如约而至，仿佛来自上天的奖赏。我决定为振兴祖国的 CTF 事业而奋斗，抓住一切机会向同学们“安利”CTF。我在网上精心挑选很久，把那些有关 CTF 最热血的视频都存在手机里，只要遇到会写代码的人就给他们看。加入我们战队，你买不了吃亏买不了上当，和我一起飞就完事儿了。在CTF世界，有一些颇为拉风的武林大会，例如大学战队公认的“华山论剑” XCTF，还有各大互联网厂商组织的 BCTF、TCTF、WCTF，还有例如“全国大学生信息安全实践赛”这样名字超长的官方比赛。但是，现实很快就教育了我：CTF 不是单打独斗的事情。我明显感觉到团队成员对 CTF 投入的精力值与我不同，在很多比赛的关键时刻，我一个人深入敌后，孤立无援，最终被敌人围殴，死状惨烈。我知道队友们尽力了，我只是觉得孤独。那天，刘雪娇老师郑重地对我说，她一直为我感到骄傲，也许是时候让我放开视野，去学校之外寻找新的队友了。我脑海中出现了一幅画面，少年游侠拜别师傅，转身泪湿眼底，决绝地走出小镇，汇入滚滚红尘。我加入了一支小有名气的战队“星盟”，队如其名，它的成员来自于全国各地的大学，这些大学有一个共同点——自身都没有很强的战队，于是散落天涯的孤星汇合在一起，是为“星”盟。我们开始攻城略地，成绩稳步提高，逐渐逼近各大赛事的决赛圈。多说一句：一般情况下，CTF比赛的预赛都是线上赛，而决赛是线下赛，也就是说，一旦我们进入决赛，就需要肉身去到赛场，完成最终的那场战斗。梦想的这一天终于到来，2019年10月底，战队打进了红帽杯比赛的决赛，11月初决赛会在广州举行。唯一的一个小问题是——组织方不管食宿，我们需要自掏腰包。一分钱难倒英雄好汉，其他队员听说了这个安排，居然全部选择了放弃，我石化了。。。从杭州到广州，单程车票就要400多块钱，这对我这个穷学生来说何尝不是一个天文数字。去还是不去，我的纠结堪比哈姆雷特。那天半夜睡不着觉，耳边有一个声音突然对我说：如果这次你不去，那你可能就永远没机会去了。鉴于小时候的劣迹，如果跟我妈要钱，我并没有信心给她讲明白我要去干什么——我总不能说：打钱，我要参加一种在网上跟人“打架”的活动。。。我决定不告诉她。幸好现在是月初，手里还有刚拿到的一千多块钱生活费，大不了回来以后啃三个礼拜馒头。就在我出发的前几天，我的个人情感发生了一点小小的波澜，这让原本就对前方巨大未知心存恐惧的我失去了唯一的倾诉对象。南下的火车掠过一座座城市和村庄，我整个人都是湿漉漉的，唯一的伙伴是身旁的行李箱，但它没有安慰我的只言片语。孤独像绞痛一样袭来，我怀疑世界上是否真的有人足够坚强，能和这种痛苦相处。本来我的计划是在广州找个网吧睡一晚上，第二天直接参赛，这样可以节省一晚住宿钱。但那一瞬间我实在不忍心把如此众多的可怜叠加在自己身上，临时改变了主意，找了一间100块的旅馆。所有人都对我指指点点，悄悄说：这肯定是个全栈大佬。我不抬头，只是一道一道地做题，脚下踩着我的行李箱。你一定觉得发生了奇迹吧。别逗了，世界上没那么多奇迹。想看一个人干趴一票人，你还是花50块钱去电影院看大片吧。最终我在99支队伍中只排名中游。我尽力了。我甚至没有记住最后的具体名次，大屏幕上只显示前十名，反正没有我就对了。就在其他人原地期待闭幕酒会时，我拉起行李箱，走向火车站，我买的是当晚的返程车票。去火车站的路上，有之前认识的一些网络安全公司老板听说我在广州，给我打电话想要面基。我说不用了，前一晚住宿已经是意料之外了，我负担不起另一晚。命运自有它的幽默感，火车载着我穿越漆黑的国度时，我并未意识到自己已经捱过了人生的最低谷。也许是我这次的只身赴险感动了上天，那以后的两个多月里，就像开了挂，战队频频杀入各大赛事的决赛，最最最重要的一点是：对方包食宿路费。我和其他战队成员也终于能在成都、长沙、西安、北京相见。学校管理严格，所以我一般会在前一天关门前离开学校，在机场睡一晚，乘第二天一早的班机飞到比赛目的地。虽说机场的长椅很硬，但我却睡得像个婴儿。最爽的是，开始有越来越多的人慕名找到我，我的微信头像仿佛成了一块磁石，每走到一地就会吸附新的好友。眼前的世界越来越广阔，我开始面对一个高级而严肃的哲学命题。我发现自己的武功已经不止能用于虚拟世界的杀伐，而是足够在真实世界里惩恶扬善了——有神秘的大佬找到我，希望我可以帮助他们搞掉盘踞在境外的色情、赌博网站，作为特种兵维护社会正义。我并没多想，只把这份工作当成现实版 CTF，单纯地享受这个惩恶扬善的过程。但并不是所有人都像我这么幸运。我在网上曾认识一位比我高一年级的 CTFer，直到今天我们也未谋面。我确信他是出于善意，测试了某个重要国内网站的安全性，可惜他做这件事之前并没有拿到合理的授权，从某一天起，我给他发消息，他再也没有回。我开始思考，我，或者像我一样的人，究竟是圣人还是罪人。抑或同时是圣人和罪人。我至今也没有足够的信心给出答案，但至少有一点确信无疑：网络世界存在“禁地”，被心中的善恶遮蔽双眼，是一种危险的自信。王永涛也是个普通人家的孩子，但他却执拗地呵护住了自己黑客梦想的火焰。当我意识到在世界的某个角落真的有人在勇敢地和命运抗争时，我感受到了巨大的鼓舞。他在25岁时接受了浅黑科技的采访，于是我也给自己定下了小目标，25岁之前接受浅黑的采访。就在我满心野望准备刷更多 CTF 比赛时，一场疫情突然降临。喧嚣的世界突然恢复了久违的安静。我在网上和一位许久没见的朋友聊天，意外发现他在面试盒马。末了他不经意间提到，阿里巴巴安全部门正在招聘实习生，问我要不要去试试。一瞬间我突然有点穿越，想到刚上大学时亲戚在饭桌上说的那句话：“你将来工作肯定能去阿里巴巴！”我感到命运女神又瞟了我一眼，这次劲儿挺大。毕竟我大三才上了一半儿，本来我的打算是再积累半年到了暑假再投简历。如今疫情肆虐，我正好有了大把时间，为神马不现在就行动呢？我坐在电脑前，开始把这几年在技术上的进步和思考一条条梳理起来。思维导图像树枝一样蔓延，我惊奇地发现这几年我竟然自学了这么多东西。看着密密麻麻的屏幕，成就感爆棚。五轮远程面试，横跨两个月，可谓旷日持久。当时电话对面是谁我也并不了解，反正兵来将挡水来土掩。然而，经过几轮聊天，我却拼凑出一些不同寻常的事实。
1、阿里巴巴的系统像一个巨大的商场，阿里安全的重要职责之一就是保证商场里的每一家店面都不会被坏人潜入，这个方向就是我一直做的“Web 应用安全”。2、但是，阿里检测应用安全的主流方法似乎不是我习惯的打 CTF 这种“人肉”挖漏洞。3、阿里安全似乎非常倚重自动化工具来检测应用安全，面试官和我聊得最多的就是自动化工具之一的“白盒扫描器”。
我有预感，如果面试成功，我将会加入一个团队，这个团队会像老司机那样驾驭一个“白盒扫描器”，每天为阿里旗下各个应用保驾护航。在这几年的 CTF 生涯中，我用过无数开源扫描器。但它们给我留下的印象可以说是“非常拉胯”。这么说吧，我觉得扫描器就像一个蹩脚扫地机器人，不仅边边角角都扫不到，还自己动不动就卡住。给人带来的方便一丢丢，给人添的麻烦一卡车。。。在我心里，最靠谱的方法当然是放弃对扫描器的幻想，依靠人类的智慧来搜寻漏洞。问题来了，阿里巴巴难道不知道扫描器难用吗？为什么还用这种方法找漏洞？很快我就有机会接近这个问题的答案了，因为我成功拿到了阿里安全的 Offer。而且如我所料，我加入的正是“应用安全检测组”——我将要走进阿里巴巴庞大的代码空间，亲手揭开真相。阿里巴巴的操作是这样的：每一个新进来的同学都会有一位师傅对口帮扶。我的师傅名叫乐谷，P8，纯纯的大牛。短短一两天，乐谷带着我熟悉了一些扫描器的工作，疑惑就已经烟消云散。两个原因。首先，阿里巴巴的业务复杂度超越了我的想象，如果依靠人肉排查漏洞，那把全世界的安全研究员都找来也不够；其次，以前我之所以觉得扫描器不好用，很可能是因为用了假的扫描器。。。我用的开源扫描器一般原理都是正则匹配——一个外来动作，凡是调用了某个函数就认为是触发了漏洞，这就像机场安检仪，一旦探测到液体，不管是不是危险品都会告警，这会导致很多误报，烦不胜烦。但阿里安全内部的扫描器采用的是“攻击链”定义的方法。一个可疑的请求进来，先标记为“污点”，而后静静地看着它装X，一旦它真的触发了某个敏感命令执行，走通了攻击链，系统才会报警。这么一来，误报率就会大大下降。扫描器还能用这个思路去做？我幼小的心灵受到了颠覆式的冲击。花了些时间熟悉了扫描器，我发现这玩意儿确实是个“挖洞神器”。就像喜欢在高架上飙车的出租车司机突然拿到了一部F1赛车，引擎轰鸣的每一声，在我听来都是醉人的旋律。哦对了，我加入阿里的时机比较特殊，当时正在经历国家级的网络安全演习，所有部门都严阵以待。我记得来阿里的第一天，团队就收到了一份报告，说有研究者发现了某个广为使用的开源框架的漏洞。乐谷紧急对漏洞做了复现，然后整个团队第一时间督促各个相关部门做了修复。这件事本应就此告一段落，但回想代码，冥冥中我总感觉哪里不对劲，CTF 赛手的职业敏感在心中悸动。那个周末，我不想待在家浪费时间，于是来到公司，对着屏幕信马由缰地胡思乱想。突然好像有谁用棒子暴击了我的脑袋，嗡地一声——我好像发现了另一条进攻这个开源框架的路线。我的心突突地跳，赶紧把漏洞详情写了一份报告，传给了领导。团队负责人林峻紧急评估，决定拉响警报，全集团相关部门又进行了一波紧急处置。这一次，传达给相关部门的修复建议正是我亲手写的，落款也是我的名字。不谦虚地说，有那么一瞬间我感觉自己这个新来的实习生成为了全集团最靓的崽。我摆出一副见过大风大浪的扑克脸，但心里美滋滋，红红火火恍恍惚惚。之后几天，我又仔细研究了这个漏洞，发现很多其他公司还没修复彻底。想了又想，这么放着不管似乎不太符合侠客的风格，于是我又以个人名义挨个把问题提交给相应公司的安全响应部门（SRC），尽心尽力地维护完网络世界的安全，事了拂衣去，深藏身与名。加入阿里巴巴的重要结果之一，是我“家族地位”直线提升。在我人生之前的二十年里，每年春节聚会我都是路人甲，听着别人家孩子的故事，2021年春节我再回家，聚餐时居然被搞到了正座，肉身 CosPlay 了一把“别人家孩子”的感觉。大家问到我在阿里做什么，我说做安全。他们求解释，我说跟小时候打架差不多，只不过现在用代码了。夜深人静，我也时常会问自己这个究极问题：阿里巴巴除了让我在家族群里地位飙升，还给了我什么？就拿我实习之初找到的那个漏洞为例吧，从技术上来说它是一个远程过程调用（ RPC）框架漏洞，你看又是远程，又是调用，即使你不懂技术，光听名字也能感觉到这是一个复杂系统才需要用到的东西。想当年我惩恶扬善拿下的那些赌博色情网站，没有一个用得到开源 RPC 框架的。这么比较有点欺负人。不过即使是和另外几家大厂比较，阿里巴巴的系统也几乎是最复杂的。你可能听说过“中间件”、“中台”这样的概念，它们的本质就是通过代码把各大系统勾连起来，这些骚操作都是阿里最早实践出来的。实际上，这么多年阿里巴巴的系统结构已经进化到异常复杂的状态，模块之间的协作关系盘根错节。相应地，为了保护这个复杂的系统，各种安全措施也极为严密。例如，应用开发时必须遵守规范流程，上线前也有各种严格测试，就像一个守备森严的军事基地。在这样一个基地里找到前人没发现的破绽，你不仅要对系统有深刻的洞见，还必须有精巧的攻击载荷设计能力，甚至还得有一套神秘的私人工具箱，这难度堪比电影里 007 潜入某国太空武器中心，光是想想就让人头秃。但请相信我，一旦你体验过詹姆斯邦德和复杂系统斗智斗勇的感觉，就会发现街头砍人的古惑仔一点技术含量都没有，完全提不起兴趣。。。阿里的分工的确很细致。就拿应用安全来说，“扫描器”只是保卫应用安全的诸多法门之一。而扫描器又可以粗略分为黑盒扫描器和白盒扫描器。白盒的意思是在可以看到所有源代码的情况下对系统安全进行检查，就像三体人那样，所有的思维都是透明的。黑盒的意思是把要测试的系统当成一个整体，通过和它交互来检查安全性，就像通过和一个地球人聊天来找到他的破绽。
1、扫描器的开发团队，负责一行一行把代码敲出来，就像是盖房子的地产商；2、扫描器的运营团队，负责为这个扫描器添加各种策略，让它能用、好用，且越来越好用，就像是物业公司；3、扫描器的使用方，就是最终用扫描器检查自己业务安全性的各个应用团队，就像是业主。
具体到我，目前我所在的就是第二个团队——扫描器运营团队，也就是“物业”的角色。怎么样，目前为止感觉我还像一个棋子吧？但在我看来，我更像一个棋手。首先，作为运营团队，我们要为扫描器的效果负责，如果业务团队用了我们的扫描器发现误报很多，总是提示有漏洞结果检查之后发现虚惊一场，那他们是要抄刀来砍我们的，所以我必须对各个业务的实际运作情况了然于胸，才能有针对性地改进扫描器策略。其次，很多时候仅仅添加策略是没办法持续提升扫描器效果的，就像西部牛仔手枪玩得再溜也干不过马克沁机枪。所以，我们还有一个重要的任务，就是从使用者的角度不断推动开发团队升级扫描器本身。再次，除了了解“楼上”“楼下”的团队都在干啥，还需要精进“自己楼层”的技术。比如我会利用业余时间跟踪网络安全界最新的人肉攻击手段，思考如何能把这些人工手段用扫描器实现出来，让扫描器的水平不至于被人落下太远。你看，要想把手上的工作做到100分，恨不得“文能上马做业务，武能下地搞开发”，你见过哪个螺丝钉能有这么风骚的走位？随着时光流逝，我渐渐发现“复杂性”带给我的财富远远不止工作技能，而是登高远望的眼界。我在实习生培训的“青色营”里认识了很多神人，例如兮水，她的研究生是在南大攻读的人工智能算法。在我的观念中，人工智能固然有用，但网络安全这种人和人强对抗的领域并不是人工智能的强项。所以私下里我对于她的工作保持着“审慎的怀疑”。。。但就在不久前，阿里安全打了一场“越权战役”，就是集中精力消灭各个应用中可能存在的越权漏洞。兮水的任务是做一套算法，用来帮助黑盒扫描器寻找漏洞。结果在算法的加持下，竟然扫到了一百多个潜在的越权漏洞，这种操作不仅效率比原来大大提升，还发现了很多之前难以发现的漏洞。看到这个结果，我由衷地给跪了。兮水这个女人不简单。。。我的老板林峻也不吝夸奖，对我们说：兮水用人工智能把网络安全提高了一个层次。最近他定期把我们召唤到会议室里学习人工智能算法相关的教程。。。也许未来某一天，算法也可以大规模地用在白盒扫描或者其他安全领域。谁说得准呢？刚才的照片里，其实兮水已经出现了。（建议点击看大图）在阿里这一年纵观全局，我总结出一个很高级的认知：网络安全的进攻和防守，并不是兵来将挡水来土掩的简单关系。攻守之间有“大道”。比如有一个叫做 RASP 的技术，它可以嵌入每一个应用，让应用自己具有“免疫能力”，从而把很多未知的入侵拒之门外。实不相瞒，阿里巴巴在 RASP 上的研究很深入，而且多数应用已经嵌入了 RASP，原本就很难的攻击现在更是男上加男。仔细研究了 RASP，我觉得这种技术将来一定会大有作为。原因很简单，并不是每个企业都像阿里这样拥有强大的网络安全队伍，但只要使用了 RASP，就能把安全提高到一个不错的水位，简单有效，何乐不为呢？我想说的是，当一个系统足够复杂，你在里面思考的东西才有可能更辽阔。虽说没人知道命运会把自己带向何方，但有一点我十分确定：我不愿回归曾经的平凡。2021年春天，我做了一件“大逆不道”的事情，在小臂上为自己搞了纹身。我把我思考很久的人生命题雕刻在手臂上，右手是“圣人与罪人”，左手是“向死而生”。我是认真的——对于一个NB的白帽黑客来说，“生死”和“善恶”也许是要用一生来面对的命题。对于纹身这件事我早就心向往之。但是，把纹身展示同事们之前，我还是很忐忑的。没想到，同事们听说我纹身，都凑过来欣赏。我能感觉到他们的夸奖是真挚的，这让在传统家庭里长大的我感觉既陌生又温暖。这些素昧平生的人，他们天生聪明，他们也选择善良，能够和这样一群人并肩为世界的安全战斗，未尝不是一种幸福。我在阿里巴巴的工号是2689**（后两位就不透露了，是第二十六万多号），这意味着无论我将来我在阿里做什么岗位，甚至是否离开阿里巴巴，这个工号都不会变化了。它就像我手上的纹身一样，标记了我身份的一个侧面，记录了我的一段时光和成长。你也许不信，现在我在阿里巴巴的生活和之前在学校几乎没有区别。我差不多从大二就告别了游戏，大多时间都在研究比游戏更刺激的代码，每天都搞到晚上十点多。在阿里巴巴，下班之后我还是保持着研究代码的习惯，也是搞到十点多。唯一的不同点就是：现在有人付给我工资。。。如果说变化，我最大的变化就是：从一个“白帽黑客”成为了“网络安全从业者”。来到阿里之后，我有机会用到很多国际顶尖的网络安全产品。但用得越多，我越能清晰地感觉到中国网络安全技术和国际顶尖水平存在的客观差距。在我看来：中国的网络安全产品能不能卖到国际上暂且不论，起码要把中国市场完全拿下才对啊。。。转念一想，这不正是我的机会么？没准真的是上天选中了我，让我用未来的时光为中国的网络安全技术进步做些什么呢。今年春天，我进入大四最后一学期，在“阿里巴巴实习一周年纪念日”的时候，我也能正式入职阿里了。听他们说今年阿里安全的实习招聘又要开始了。我猜在这个世界上，一定有人和我一样，普通但不甘平凡。其实，在看到那篇老杭大写爸爸的文章时，我着实纠结了一下，如果我爸爸还在，他是否会为我感到骄傲？我从来都觉得，对于众生来说，有两种权利最为重要，第一是知情权，第二是生命财产权。他选择了第一条路，而我选择了第二条；他选择了用笔，我选择了用键盘；他选择了用一生在为世界“填坑”，而我却在用生命“挖洞”。某种意义上我们仍然在并肩作战——我们都在直面“复杂”，未曾逃避这个世界的锋利。我记忆里最早的一件事，是病重的爸爸仿佛突然想起来什么，特地嘱咐妈妈给我买一本鲁迅杂文集。这本《鲁迅杂文全集》，如今也栖身于那套巨大的书柜上，和爸爸留给我的《金庸武侠全集》站在一起。
我虽不是天生的王者
