21世紀什么最貴，人才。而人才最大的噩夢就是——懷才不遇。
烏云深諳此道，手中一萬四千名白帽子，無疑是社區(qū)成立五年以來最值錢的“資產(chǎn)”。讓這些白帽子堅守正義理想的同時，不至于“啼饑號寒”，也是烏云這幾年的“規(guī)定動作”。 三年前，烏云搞出了一個“烏云眾測”。 簡單說來“烏云眾測”就是用眾包安全測試的方式給手下的白帽子“拉生意”。為每一個想要進行安全測試的企業(yè)選拔30名白帽子，手動進行滲透測試。腦洞大開的白帽子會采用各種刁蠻的姿勢試圖進入企業(yè)內部，然后撫摸著“千瘡百孔”的企業(yè)網(wǎng)絡溫柔地說：“不要怕，我會對你負責的�！敝鬄槠髽I(yè)修復漏洞，拍屁股走人。
客觀來講這個策略是成功的。幾年來“烏云白帽子”的口碑不斷積累，成為了很多人眼里的“金字招牌”。這就導致更多天才白帽子“皈依”烏云門下。2015年諸如“網(wǎng)易郵箱數(shù)據(jù)泄露”“攜程用戶數(shù)據(jù)泄露”“12306用戶數(shù)據(jù)泄露”“百度全系安卓漏洞”等很多爆炸性的漏洞都是在烏云平臺上首發(fā)預警的。和其他各式漏洞平臺相比，烏云白帽子可謂是風頭出盡，讓“人多力量大”這句互聯(lián)網(wǎng)時代的金句威力初顯。 如果說“烏云眾測”是別動小分隊的話，那么烏云剛剛發(fā)布的“唐朝安全巡航”系統(tǒng)就算是“人民戰(zhàn)爭”了。 【唐朝安全巡航系統(tǒng)主界面】 唐朝巡航和烏云眾測最大的區(qū)別就是采用了“人海戰(zhàn)術+自動化”的策略。白帽子在系統(tǒng)中的主要功能就是提交“自動化監(jiān)測漏洞插件”。說來簡單，這個插件實際上是把白帽子手動尋找漏洞的方式用自動化的方式重現(xiàn)出來，這樣白帽子就不用在不同的任務中重復同樣的滲透過程了。插件一旦被系統(tǒng)選用，那么一旦企業(yè)運用這個插件搜尋到漏洞，它的作者白帽子就會獲得一次分成。如果這個插件被普遍運用，那么白帽子就可以坐收“版稅”，在夏威夷的陽光下一邊看著草裙舞一邊數(shù)錢了。 烏云創(chuàng)始人劍心把“唐朝”比作一個航空母艦，“圍繞著企業(yè)的安全邊界去巡航”。優(yōu)點在于，這艘航母上的“艦載機”（漏洞插件）是會實時升級的。 用“攻擊者”的思維來對企業(yè)安全進行測試，是“唐朝”讓劍心引以為傲的特點。因為企業(yè)被利用的漏洞往往是低級而奇葩的。唐朝安全巡航產(chǎn)品總監(jiān) boooooom 向雷鋒網(wǎng)介紹了幾個奇葩但是屢屢出現(xiàn)的企業(yè)漏洞： 1、弱口令 “你的公司一定存在用自己的姓名+生日作為密碼的人�！币驗榉敝氐墓ぷ饕呀�(jīng)把員工累成狗，很多人面對復雜的內網(wǎng)密碼，內心是拒絕的。沒錯，這個世界正是“加班不息，弱口令不止”的熊樣。你會問：“你不知道我的用戶名，一樣無法爆破我的驗證啊�！睕]關系，你的身邊一定有叫做諸如“張偉”“王偉”“李偉”“張芳”“王芳”的同事。通過簡單的社工庫運用，就有很大幾率爆破你的口令，從而讓黑客進入你的內網(wǎng)進行漫游。
2、“好網(wǎng)站”Github Github是最大的開源代碼庫，很多程序猿選擇在上面分享自己編寫的代碼組件。黑客在為程序猿分享精神點贊的同時，也會順便瞅一瞅他是否在代碼里泄露了內網(wǎng)數(shù)據(jù)庫的配置，或者干脆是企業(yè)內部郵箱的帳號密碼。萬達、步步高、唯品會等數(shù)不勝數(shù)的企業(yè)都倒在了這個無厘頭的原因上。
3、“別人家”的漏洞 “CSDN的數(shù)據(jù)泄露跟我公司有什么關系呢？”關系就是：你的員工很可能用和CSDN同樣的密碼注冊了你的企業(yè)郵箱。
根據(jù)烏云白帽子“紫霞仙子”（別幻想了，是個純爺們）透露： 某在唐朝上提交漏洞插件的白帽子兄弟，第一個月分紅有1000元，第二個月分紅就上漲到了4000元。一個新的漏洞爆出來，提交插件的人都在爭搶，幾個小時之內就有四個類似插件提交。
【這就是傳說中的紫霞仙子（感覺不會再愛白帽子了）】 由此看來，在“唐朝”運行初期漏洞插件的行情還是不錯的。然而，也有白帽子表示了顧慮：一旦制作了漏洞掃描插件，就相當于把獨門武功公諸于眾。之后自己再用這套功夫在江湖上行走的時候，就沒有那么好用了——因為別人花點錢就可以買到你寫的武林秘籍。 這個問題的關鍵在于兩點： 1、你的武林秘籍到底值多少錢？
2、你更在乎錢還是更在乎成就感？
這兩個問題很難回答。也許為了實現(xiàn)“天下無賊”的夢想，白帽子從來都需要情懷吧。
| 
免費注冊
發(fā)表于 2015-12-17 13:49
