专访民间黑客 7kbstorm :黑客和安全的初心与始终【T00ls人物专访第九期】

2018-01-29 08:19:08 76 13212 4

屋里我和7kb边喝茶边聊安全,我们都在感叹这几年信息安全行业发展变化之大、速度之快。这次采访从SRC和白帽子开始,说安全行业。



上海下雪了。

    屋里我和7kb边喝茶边聊安全,我们都在感叹这几年信息安全行业发展变化之大、速度之快。这次采访从SRC和白帽子开始,说安全行业。



   7kb和我说,当初这个行业根本没有SRC的概念,自己也不混SRC,现在互联网公司基本都有了自己的SRC。当初学信息安全学挖漏洞也完全是兴趣使然,只是单纯的喜欢,不为赚钱。现在挖漏洞成了白帽子的赚钱方式。安全行业当初也没有这样浮躁,大家都比较喜欢低调的潜心学习。现在一些人挖到几个高危漏洞就觉得自己很了不起,各种榜单、各种会议、各种刷名气,不惜造假、吹牛营销自己。

    我在很早之前就认识了7kb。7kb帮我写过很多工具,很多手工重复的工作程序实现,轻松了很多。

    7kb很乐于助人。我认为7kb的成长是典型的“野路子”信息安全从业者。学生时期的他成绩还挺好。有一天,他偶然看到了一本黑客杂志,被黑客的自由精神深深吸引,这让他萌生了学习信息安全的想法。开始了真正的“黑客”之路。他认为人就应该做自己想做的事情,做自己喜欢做的事情。他不顾家人的反对,就选择了弃学,虽然后来也参加自考读了大学,但还是把主要精力放在安全学习上。

    他弃学时期开始尝试自己创业,一方面加深技术,一方面维持生活。尽管很辛苦,但也为自己能自食其力感到欣慰。后因各种原因导致失败,这时他萌生了找点有意思的事情做的想法,于是去经历和体验了本不是他年纪所应该经历的社会生活。他做过很多份工作,其中两份让他记忆深刻。一个是在工地打工的时候,他年纪既小身体又瘦,每天工地一到开饭的时候,吃饭速度一慢,面前只有空盘子了。另一个是大学的图书馆的工作,那里的学生们都沉浸在书籍的海洋里。慢慢的,7kb也成为其中之一。他深受这种环境的感染,喜欢这份工作。不仅可以工作,还可以学习,做自己喜欢的事情,还能去听大学里的课。
       
    多种生活的体验让他很快成熟了起来。

    他在图书馆以及培训班里学了多种编程语言,也学习过平面与3D的设计,偶尔也被自己的设计作品陶醉不已。

    他图书馆辞职后,抓住了一次机会开始了新的人生。家人起初很不理解他的工作,尽管后期家人里出了几个程序员,但涉及安全方面的只有他。

    他开始踏入安全行业的时候,建设过安全论坛,当过版主,也组过团队。他那时候主要研究前端的渗透,随着认识圈子里的人越来越多,参与的交流越来越多,有了更多的知识积累,知识面也扩大了,懂得了“非知攻,焉知防”的道理,于是他又系统学习了数据库安全以及网站安全运维,慢慢的就又接触到了内网渗透。他在和别人的交流中,意识到持久维权的重要性,于是又专心钻研RAT查杀与反查杀,随后也加入了网络尖刀。

     尽管家教很严,7kb也始终追求自己想做的事情。当初他是在顶着随时被老爹拍死的状态下选择的学习安全。起初家里人的反对,一是不了解,二是觉得不安稳,毕竟现在大众的选择是一路读书而后找份稳当工作为好。后来,他家人也逐渐理解了整天喊着追求理想的他,明白他做得是正儿八经的工作了。

    在2009年到2010年的这段时间,圈子里很流行各种漏洞文章。7kb就在虚拟机里做了一个环境来复现漏洞,这是他人生第一次漏洞复现。有了第一次漏洞研究之后,便有了第二次、第三次,从此一发不可收拾。

    这一路走来,他早已不记得自己复现过多少漏洞,推倒重写了多少代码,更忘记了自己在多少个夜晚里干到天明。

    有时候在渗透测试中因为前辈的工具用的不太顺手,他就尝试着写了有自己见解一系列工具,但由于各种原因他并不想公开发布。使用过的朋友们会提出建议,他会为了完美而一次次地更新。现在熟悉的朋友说他,安全做成了安全开发。他认为编程能力是黑客必备的技能。他说技术上的突破,使他认识到了自己的不足,开始了学业上的奋进,参加考试、阅读书籍、将碎片化的知识整理起来。信安也从他最初的兴趣,变成了一生的事业,从事所热爱的工作是一种幸运。

    现在在土司论坛,7kb是一位新秀。他很早就知道了土司论坛,但由于不善与人在论坛内交流而一直未能加入,几年前偶然的一次机会他加入了土司论坛,开始尝试着在论坛公布自己的一些作品。他的作品非常受欢迎,使用者也纷纷给他提供了使用意见,使他更好的完善了自己的作品。
   
    7kb的虽然不是专业开发,但他写过很多工具。比如web路径探测工具、企业资产搜集、常见网络服务弱点检测工具等。记得某一天土司论坛发布了一个帖子,说明了一个思路,可以将一句话爆破的速度提高千倍,11万行的字典大约15秒左右就可以爆破完成。7kb顺手写了一个工具出来。

    今年爆发了IIS 6.0 WebDAV CVE-2017-7269远程代码执行漏洞,7KB为了方便企业排查存在漏洞的机器,写了批量的检测工具,受到企业一致的好评。

    他是漏洞的复现者,也是漏洞的发现者。

    他说一旦一个人的追求变了,即使有再多的资源,也不会像以前那样纯粹的研究技术了,技术也就没有那么大的诱惑力。技术成了工作,技术更成了赚钱的方式后,会与他当初内心的那份对技术自由的渴望渐行渐远。他一直让自己在一个安静下来的状态中前进,怕人变得浮躁,但有时候也难免被外界影响。

    窗外的雪越下越大。我来上海的这些年,还从未见过如此大的雪。现在的安全行业确实变化很多,就业环境比之前好了太多,各种大公司小公司几乎都有了安全人员,对学历的要求也没有像其他行业一样卡得那么死,国家也开始重视这一块了,前景还是非常不错。安全行业一面朝阳的时候,也有很多背阴的地方。某些白帽子因为厂商奖励不满意,便四处攻击;也有某些安全人员四处收购SRC的漏洞,润色自己的简历;当然也有很多混圈子的,大家都心知肚明

    上海的雪停了。雪的初心却没有终止


朋友眼中的7kb:

oldjun:踏实钻研,潜心技术;低调做人、老成持重。t00ls精神的践行者,90后的典范!

lcx:现在在我眼中,他还算是个孩子,虽然他可能认为自己成熟了。他以后一定会成长为一个男人,一个技术牛人。

Mango:人很不错很仗义,坦荡直言,豪爽热情,勤勤恳恳猫奴叔叔。

国士无双:仗义的兄弟 负责的管理 高产的作者 狂热的coder。

鬼魅羊羔:很有分享精神的小伙儿,不自私,不焦躁,有北方人的仗义和豁达,是个不可多得朋友。

安全小飞侠:我认识Storm有好几年了,这几年他给我的印象就是那种理想主义的Hacker,擅长写工具搞渗透,但是却不喜欢显摆吹逼,踏踏实实,人也很实在,但是和他那张兼具帅气和可爱的脸庞相比技术已经不那么重要了。

接地气:谨慎 、刀子嘴豆腐心、仗义、北方爷们、性格直爽、乐于助人
为吐司做了很多贡献,无以言表。在我看来他的付出是为了内心的舒坦,而不是回报。老七分享的工具以及热心帮助他人,都很直接的体现他的奉献精神。

作者:media@t00ls.net

关于作者

评论76次

要评论?请先  登录  或  注册