正文

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

發(fā)布時(shí)間：2023-04-18 20:16:20 稿源：創(chuàng)意嶺閱讀： 147

大家好！今天讓創(chuàng)意嶺的小編來(lái)大家介紹下關(guān)于白帽子黑客培訓(xùn)的問題，以下是小編對(duì)此問題的歸納整理，讓我們一起來(lái)看看吧。

開始之前先推薦一個(gè)非常厲害的Ai人工智能工具，一鍵生成原創(chuàng)文章、方案、文案、工作計(jì)劃、工作報(bào)告、論文、代碼、作文、做題和對(duì)話答疑等等

只需要輸入關(guān)鍵詞，就能返回你想要的內(nèi)容，越精準(zhǔn)，寫出的就越詳細(xì)，有微信小程序端、在線網(wǎng)頁(yè)版、PC客戶端

官網(wǎng)：https://ai.de1919.com。

創(chuàng)意嶺作為行業(yè)內(nèi)優(yōu)秀的企業(yè)，服務(wù)客戶遍布全球各地，如需了解SEO相關(guān)業(yè)務(wù)請(qǐng)撥打電話175-8598-2043，或添加微信：1454722008

本文目錄:

1、當(dāng)年，中國(guó)最小黑客汪正揚(yáng)，為不寫作業(yè)黑掉校園網(wǎng)，如今怎樣了？
2、白帽子的黑客分類
3、中國(guó)年齡最小黑客，8歲寫代碼，1元買2500元東西，現(xiàn)在怎樣？
4、白帽子講Web安全的前言

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

一、當(dāng)年，中國(guó)最小黑客汪正揚(yáng)，為不寫作業(yè)黑掉校園網(wǎng)，如今怎樣了？

黑客，指的是那些熟悉計(jì)算機(jī)和編程的人，他們能夠找到網(wǎng)絡(luò)上的各種漏洞，計(jì)算機(jī)技術(shù)十分厲害。2005年的時(shí)候，一個(gè)名叫吳翰清的知名黑客到阿里巴巴面試，當(dāng)時(shí)他只有21歲，所以面試官不太相信他的能力，于是讓他展示一下自己的技術(shù)，結(jié)果這個(gè)21歲的年輕人，僅僅用了3分鐘，就黑掉了阿里巴巴的內(nèi)網(wǎng)。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

這件事情驚動(dòng)了馬云，直言吳翰清就是他要找的人才。截至2015年，吳翰清幫阿里巴巴擋過一次互聯(lián)網(wǎng)史上最大的黑客攻擊，總預(yù)防次數(shù)達(dá)1億以上，馬云對(duì)外夸贊他說，有他在，自己才能安心。而我們今天的主人公也是一名黑客，而且是中國(guó)年齡最小的黑客。

這名小黑客名叫汪正揚(yáng)，出生于2001年。汪正揚(yáng)從小就對(duì)電子產(chǎn)品很感興趣，甚至達(dá)到了癡迷的程度，8歲的時(shí)候就電腦不離手，時(shí)時(shí)刻刻都沉迷其中。但是那時(shí)候他只是用電腦玩游戲，比如風(fēng)靡一時(shí)的“偷菜”之類的，沒過半年，汪正揚(yáng)就厭倦了這個(gè)游戲。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

汪正揚(yáng)的父母看著自己兒子沉迷電腦，怎么勸都不出去玩，于是靈機(jī)一動(dòng)，夫妻倆就給汪正揚(yáng)買了一些電腦編程方面的書，想讓他學(xué)一些電腦的基礎(chǔ)知識(shí)。誰(shuí)知汪正揚(yáng)天賦很高，自己學(xué)起了編程，為了驗(yàn)證書中的知識(shí)是否正確，汪正揚(yáng)特意跑到網(wǎng)吧的電腦上去敲代碼。

他的父母覺得這始終不是長(zhǎng)久之計(jì)，再怎么說，網(wǎng)吧也是一個(gè)魚龍混雜的地方，于是一咬牙，就給兒子買了一臺(tái)先進(jìn)的電腦。汪正揚(yáng)得到電腦之后天天鉆研，2011年，他把吃冰棍的錢攢了下來(lái)，一共有400多塊，用這筆錢買了一個(gè)現(xiàn)成的網(wǎng)站主機(jī)，還在上面寫了幾個(gè)小程序，放在電腦上自?shī)首詷贰?/p>

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

那時(shí)候，他每天最期待的事情就是回家玩電腦。有一天，他本想早點(diǎn)回家寫另一個(gè)小程序，但是那天學(xué)校布置的作業(yè)太多了，寫完作業(yè)要花去很長(zhǎng)的時(shí)間，于是汪正揚(yáng)“靈機(jī)一動(dòng)”，直接黑掉了學(xué)校的網(wǎng)站，一時(shí)間全校同學(xué)的成績(jī)和一些資料全部丟失了。

這件事很快被校方查了出來(lái)，領(lǐng)導(dǎo)還把汪正揚(yáng)叫過去教育了一番，但同時(shí)，大家都對(duì)這個(gè)孩子的黑客技術(shù)感到非常驚訝，因?yàn)榕滤伴L(zhǎng)歪”，長(zhǎng)輩們還苦口婆心的教育他要做一個(gè)正直善良的人。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

2013年，12歲的汪正揚(yáng)已經(jīng)能夠獨(dú)立做一個(gè)新的網(wǎng)站了，有一次他在網(wǎng)絡(luò)上發(fā)現(xiàn)一個(gè)漏洞，只需要付1元錢就能買到價(jià)值2500元的商品，最后，汪正揚(yáng)謹(jǐn)遵長(zhǎng)輩們的教導(dǎo)，把這個(gè)系統(tǒng)漏洞告訴了商家。

2014年，汪正揚(yáng)小升初，考到了清華附中就讀初一；同年四月，他還向360公司提交了360的系統(tǒng)漏洞，那些漏洞的存在很可能會(huì)危及上百家教育網(wǎng)站的安全；同年9月，汪正揚(yáng)出席了中國(guó)互聯(lián)網(wǎng)安全大會(huì)，13歲的他成為全場(chǎng)年齡最小的黑客，可謂是少年天才。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

而汪正揚(yáng)的夢(mèng)想是做一名白帽子黑客，所謂白帽子，就是及時(shí)發(fā)現(xiàn)互聯(lián)網(wǎng)系統(tǒng)中的漏洞，并趕在黑客利用它做壞事之前將其公之于眾，并且修復(fù)。在被問及以后的夢(mèng)想時(shí)，汪正揚(yáng)回答道：“我希望自己能夠好好學(xué)習(xí)，考一個(gè)好大學(xué)，繼續(xù)學(xué)習(xí)計(jì)算機(jī)專業(yè)?！?/p>

現(xiàn)如今，汪正揚(yáng)正在一邊學(xué)習(xí)，一邊幫助公安局檢查系統(tǒng)漏洞，相信這位既有天賦夢(mèng)想又肯為之努力的中國(guó)最小黑客，未來(lái)一定能夠?qū)崿F(xiàn)自己的夢(mèng)想。

二、白帽子的黑客分類

白帽子，描述的是正面的黑客,他可以識(shí)別計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中的安全漏洞，但并不會(huì)惡意去利用，而是公布其漏洞。這樣，系統(tǒng)將可以在被其他人（例如黑帽子）利用之前來(lái)修補(bǔ)漏洞；

灰帽子，他們擅長(zhǎng)攻擊技術(shù)，但不輕易造成破壞，他們精通攻擊與防御，同時(shí)頭腦里具有信息安全體系的宏觀意識(shí)；

黑帽子，他們研究攻擊技術(shù)非法獲取利益，通常有著黑色產(chǎn)業(yè)鏈

腳本小子（script kiddie）是一個(gè)貶義詞用來(lái)描述以黑客自居并沾沾自喜的初學(xué)者。他們欽慕于黑客的能力與探索精神，但與黑客所不同的是，腳本小子通常只是對(duì)計(jì)算機(jī)系統(tǒng)有基礎(chǔ)了解與愛好，但并不注重程序語(yǔ)言、算法、和數(shù)據(jù)結(jié)構(gòu)的研究，雖然這些對(duì)于真正偉大的黑客來(lái)說是必須具備的素質(zhì)。他們常常從某些網(wǎng)站上復(fù)制腳本代碼，然后到處粘貼，卻并不一定明白他們的方法與原理。因而稱之為腳本小子。

腳本小子不像真正的黑客那樣發(fā)現(xiàn)系統(tǒng)漏洞，他們通常使用別人開發(fā)的程序來(lái)惡意破壞他人系統(tǒng)。通常的刻板印象為一位沒有專科經(jīng)驗(yàn)的少年，破壞無(wú)辜網(wǎng)站企圖使得他的朋友感到驚訝。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

三、中國(guó)年齡最小黑客，8歲寫代碼，1元買2500元東西，現(xiàn)在怎樣？

對(duì)于神童，自古以來(lái)大家總是不會(huì)吝嗇對(duì)他們的贊美之詞。相信各位也可以列舉出不少自己所知道的神童，他們天資聰慧，擁有著原本并非那個(gè)年齡段本該有的智慧。我們總是會(huì)無(wú)比羨慕那些天才少年，尤其在上學(xué)期間，大多數(shù)人需要學(xué)習(xí)很久的知識(shí)，在他們看來(lái)總是很輕松就完成了。

大家有時(shí)總會(huì)幻想自己要是天才就好了，可能學(xué)習(xí)就不必這么辛苦了。但其實(shí)作為天才更需要后天的不斷努力充實(shí)，要不然只會(huì)上演傷仲永的悲劇，白白浪費(fèi)了天縱之才。我們今天所要介紹的這位小天才，還曾因被稱作“中國(guó)年齡最小的黑客”而出名。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

在2014年的中國(guó)互聯(lián)網(wǎng)安全大會(huì)上，年僅13歲的汪正揚(yáng)成為了大家關(guān)注的焦點(diǎn)，因?yàn)樗菂⒓舆@次大會(huì)最小的選手。原本能夠參加大會(huì)的人員都是研究互聯(lián)網(wǎng)、計(jì)算機(jī)多年了，所以年齡會(huì)普遍偏大一些，而汪正揚(yáng)的出現(xiàn)打破了這一規(guī)律。也正是在這次互聯(lián)網(wǎng)大會(huì)之后，汪正揚(yáng)被大家稱呼為我國(guó)年齡最小的黑客。

不過，有人贊賞，自然也就有人持懷疑態(tài)度。年齡這么小真的懂在我們看來(lái)無(wú)比復(fù)雜的計(jì)算機(jī)代碼嗎？該不是炒作吧。類似于這樣的聲音也隨之而來(lái)，但當(dāng)大家真正了解過汪正揚(yáng)這個(gè)人后，才知道神童的世界原來(lái)是這樣的。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

這位零零后從八歲的時(shí)候才開始真正地接觸電腦，一開始也是出于小孩子的玩樂之心，在電腦上玩類似于偷菜這樣的小游戲。不過，這種癡迷僅僅只持續(xù)了大半年左右的時(shí)間，汪正揚(yáng)便開始尋找下一個(gè)能讓他繼續(xù)感興趣的游戲，就是這個(gè)時(shí)候意外接觸到了編程、代碼、程序等等。

別說是小孩子，就算是大學(xué)生在看到一連串代碼時(shí)也不免頭大?？墒牵挲g尚小的汪正揚(yáng)開始對(duì)電腦程序后的“代碼世界”產(chǎn)生了極大興趣。大家都知道，興趣在我們學(xué)習(xí)過程中往往扮演著很重要的角色。自此以后，汪正揚(yáng)便陷入代碼世界不可自拔。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

剛開始，他的家中并沒有電腦，汪正揚(yáng)和我們大多數(shù)人一樣，只好去網(wǎng)吧學(xué)習(xí)編寫代碼。經(jīng)常去網(wǎng)吧自然容易被父母發(fā)現(xiàn)，可是在得知自己孩子并非為了玩游戲而是在學(xué)習(xí)編程后。汪正揚(yáng)的父母為不打消他的積極性，并沒有阻止他，反而專門為其購(gòu)買了一臺(tái)頂配的筆記本電腦和眾多有關(guān)編程的書籍。

在父母的支持下，汪正揚(yáng)的計(jì)算機(jī)編程技術(shù)很快就得到了提高，可以開始自行制作一些網(wǎng)頁(yè)。甚至有一次因?yàn)槔蠋煵贾玫淖鳂I(yè)過多，汪正揚(yáng)一氣之下黑掉了學(xué)校的答題系統(tǒng)，畢竟就他的年齡來(lái)說還屬于小孩子，不過好在后面還是主動(dòng)向老師承認(rèn)了錯(cuò)誤。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

諸如此類的事情還有，在一次父親過生日的時(shí)候，他利用漏洞在網(wǎng)上購(gòu)買了價(jià)值2500元的商品，卻只支付了1元。很多電腦黑客就是這樣通過自己的技術(shù)，謀取不正當(dāng)利益。所以，我們一般在聽到黑客這個(gè)名字的時(shí)候，除了覺得他們計(jì)算機(jī)技術(shù)高超之外，更多時(shí)候并沒有好感。但是，汪正揚(yáng)像上一次黑掉學(xué)校答題系統(tǒng)一樣，很快認(rèn)識(shí)到了自己的錯(cuò)誤，不僅退還了商品還順便告知了對(duì)方網(wǎng)站存在的漏洞。此后，汪正揚(yáng)也開始將自己發(fā)現(xiàn)的其他網(wǎng)站漏洞一一反饋，其中就有知名的360，當(dāng)時(shí)還成為了360庫(kù)帶計(jì)劃反饋者中年齡最小的一個(gè)，受到了360掌門人周鴻祎的贊賞。

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）

當(dāng)然，掌握了高超的電腦技術(shù)可以為自己帶來(lái)不少便利。汪正揚(yáng)也曾有這樣做過，但他最后都認(rèn)識(shí)到了自己的錯(cuò)誤，并且表示要成為了一名與“黑客”相對(duì)的“白帽子”，希望可以通過自己的技術(shù)幫助他人?，F(xiàn)如今，按照年齡來(lái)算的話，汪正揚(yáng)已經(jīng)進(jìn)入到了大學(xué)階段。

當(dāng)初他的理想就是可以前往一座比較不錯(cuò)的大學(xué)，繼續(xù)進(jìn)修計(jì)算機(jī)專業(yè)。不過，自從在2014年互聯(lián)網(wǎng)大會(huì)上亮相之后，汪正揚(yáng)便慢慢淡出了大眾的視線。還有人說他在高中的成績(jī)并不理想，已經(jīng)不復(fù)當(dāng)年的天縱之才，高中畢業(yè)之后便開始工作了。但并不排除，汪正揚(yáng)已經(jīng)實(shí)現(xiàn)了自己的理想，在大學(xué)校園中繼續(xù)提升著自己計(jì)算機(jī)方面的技術(shù)，成為一名“白帽子”。

四、白帽子講Web安全的前言

在2010年年中的時(shí)候，博文視點(diǎn)的張春雨先生找到我，希望我可以寫一本關(guān)于云計(jì)算安全的書。當(dāng)時(shí)云計(jì)算的概念正如日中天，但市面上關(guān)于云計(jì)算安全應(yīng)該怎么做卻缺乏足夠的資料。我由于工作的關(guān)系接觸這方面比較多，但考慮到云計(jì)算的未來(lái)尚未清晰，以及其他的種種原因，婉拒了張春雨先生的要求，轉(zhuǎn)而決定寫一本關(guān)于Web安全的書。我對(duì)安全的興趣起源于中學(xué)時(shí)期。當(dāng)時(shí)在盜版市場(chǎng)買到了一本沒有書號(hào)的黑客手冊(cè)，其中coolfire 的黑客教程令我印象深刻。此后在有限的能接觸到互聯(lián)網(wǎng)的機(jī)會(huì)里，我總會(huì)想方設(shè)法地尋找一些黑客教程，并以實(shí)踐其中記載的方法為樂。

在2000年的時(shí)候，我進(jìn)入了西安交通大學(xué)學(xué)習(xí)。在大學(xué)期間，最大的收獲，是學(xué)校的計(jì)算機(jī)實(shí)驗(yàn)室平時(shí)會(huì)對(duì)學(xué)生開放。當(dāng)時(shí)上網(wǎng)的資費(fèi)仍然較貴，父母給我的生活費(fèi)里，除了留下必要的生活所需費(fèi)用之外，幾乎全部投入在這里。也是在學(xué)校的計(jì)算機(jī)實(shí)驗(yàn)室里，讓我迅速在這個(gè)領(lǐng)域中成長(zhǎng)起來(lái)。

大學(xué)期間，在父母的資助下，我擁有了自己的第一臺(tái)個(gè)人電腦，這加快了我成長(zhǎng)的步伐。與此同時(shí)，我和一些互聯(lián)網(wǎng)上志同道合的朋友，一起建立了一個(gè)技術(shù)型的安全組織，名字來(lái)源于我當(dāng)時(shí)最喜愛的一部動(dòng)漫：“幻影旅團(tuán)”。歷經(jīng)十余載，“幻影”由于種種原因未能得以延續(xù)，但它卻曾以論壇的形式培養(yǎng)出了當(dāng)今安全行業(yè)中非常多的頂尖人才。這也是我在這短短二十余載人生中的最大成就與自豪。

得益于互聯(lián)網(wǎng)的開放性，以及我親手締造的良好技術(shù)交流氛圍，我?guī)缀跻娮C了全部互聯(lián)網(wǎng)安全技術(shù)的發(fā)展過程。在前5年，我投入了大量精力研究滲透測(cè)試技術(shù)、緩沖區(qū)溢出技術(shù)、網(wǎng)絡(luò)攻擊技術(shù)等；而在后5年，出于工作需要，我把主要精力放在了對(duì)Web安全的研究上。發(fā)生這種專業(yè)方向的轉(zhuǎn)變，是因?yàn)樵?005年，我在一位摯友的推薦下，加入了阿里巴巴。加入的過程頗具傳奇色彩，在面試的過程中主管要求我展示自己的能力，于是我遠(yuǎn)程關(guān)閉了阿里巴巴內(nèi)網(wǎng)上游運(yùn)營(yíng)商的一臺(tái)路由設(shè)備，導(dǎo)致阿里巴巴內(nèi)部網(wǎng)絡(luò)中斷。事后主管立即要求與運(yùn)營(yíng)商重新簽訂可用性協(xié)議。

大學(xué)時(shí)期的興趣愛好，居然可以變成一份正經(jīng)的職業(yè)（當(dāng)時(shí)很多大學(xué)都尚未開設(shè)網(wǎng)絡(luò)安全的課程與專業(yè)），這使得我的父母很震驚，同時(shí)也更堅(jiān)定了我自己以此作為事業(yè)的想法。

在阿里巴巴我很快就嶄露頭角，曾經(jīng)在內(nèi)網(wǎng)中通過網(wǎng)絡(luò)嗅探捕獲到了開發(fā)總監(jiān)的郵箱密碼；也曾經(jīng)在壓力測(cè)試中一瞬間癱瘓了公司的網(wǎng)絡(luò)；還有好幾次，成功獲取到了域控服務(wù)器的權(quán)限，從而可以以管理員的身份進(jìn)入任何一位員工的電腦。

但這些工作成果，都遠(yuǎn)遠(yuǎn)比不上那厚厚的一摞網(wǎng)站安全評(píng)估報(bào)告讓我更有成就感，因?yàn)槲抑?，網(wǎng)站上的每一個(gè)漏洞，都在影響著成千上萬(wàn)的用戶。能夠?yàn)榘偃f(wàn)、千萬(wàn)的互聯(lián)網(wǎng)用戶服務(wù)，讓我倍感自豪。當(dāng)時(shí)，Web正在逐漸成為互聯(lián)網(wǎng)的核心，Web安全技術(shù)也正在興起，于是我義無(wú)返顧地投入到對(duì)Web安全的研究中。

我于2007年以23歲之齡成為了阿里巴巴集團(tuán)最年輕的技術(shù)專家。雖未有官方統(tǒng)計(jì)，但可能也是全集團(tuán)里最年輕的高級(jí)技術(shù)專家，我于2010年獲此殊榮。在阿里巴巴，我有幸見證了安全部門從無(wú)到有的建設(shè)過程。同時(shí)由于淘寶、支付寶草創(chuàng)，尚未建立自己的安全團(tuán)隊(duì)，因此我有幸參與了淘寶、支付寶的安全建設(shè)，為他們奠定了安全開發(fā)框架、安全開發(fā)流程的基礎(chǔ)。當(dāng)時(shí)，我隱隱地感覺到了互聯(lián)網(wǎng)公司安全，與傳統(tǒng)的網(wǎng)絡(luò)安全、信息安全技術(shù)的區(qū)別。就如同開發(fā)者會(huì)遇到的挑戰(zhàn)一樣，有很多問題，不放到一個(gè)海量用戶的環(huán)境下，是難以暴露出來(lái)的。由于量變引起質(zhì)變，所以管理10臺(tái)服務(wù)器，和管理1萬(wàn)臺(tái)服務(wù)器的方法肯定會(huì)有所區(qū)別；同樣的，評(píng)估10名工程師的代碼安全，和評(píng)估1000名工程師的代碼安全，方法肯定也要有所不同。

互聯(lián)網(wǎng)公司安全還有一些鮮明的特色，比如注重用戶體驗(yàn)、注重性能、注重產(chǎn)品發(fā)布時(shí)間，因此傳統(tǒng)的安全方案在這樣的環(huán)境下可能完全行不通。這對(duì)安全工作提出了更高的要求和更大的挑戰(zhàn)。

這些問題，使我感覺到，互聯(lián)網(wǎng)公司安全可能會(huì)成為一門新的學(xué)科，或者說應(yīng)該把安全技術(shù)變得更加工業(yè)化。可是我在書店中，卻發(fā)現(xiàn)安全類目的書，要么是極為學(xué)術(shù)化的（一般人看不懂）教科書，要么就是極為娛樂化的（比如一些“黑客工具說明書”類型的書）說明書。極少數(shù)能夠深入剖析安全技術(shù)原理的書，以我的經(jīng)驗(yàn)看來(lái)，在工業(yè)化的環(huán)境中也會(huì)存在各種各樣的問題。

這些問題，也就促使我萌發(fā)了一種寫一本自己的書，分享多年來(lái)工作心得的想法。它將是一本闡述安全技術(shù)在企業(yè)級(jí)應(yīng)用中實(shí)踐的書，是一本大型互聯(lián)網(wǎng)公司的工程師能夠真正用得上的安全參考書。因此張春雨先生一提到邀請(qǐng)我寫書的想法時(shí)，我沒有做過多的思考，就答應(yīng)了。

Web是互聯(lián)網(wǎng)的核心，是未來(lái)云計(jì)算和移動(dòng)互聯(lián)網(wǎng)的最佳載體，因此Web安全也是互聯(lián)網(wǎng)公司安全業(yè)務(wù)中最重要的組成部分。我近年來(lái)的研究重心也在于此，因此將選題范圍定在了Web安全。但其實(shí)本書的很多思路并不局限于Web安全，而是可以放寬到整個(gè)互聯(lián)網(wǎng)安全的方方面面之中。

掌握了以正確的思路去看待安全問題，在解決它們時(shí)，都將無(wú)往而不利。我在2007年的時(shí)候，意識(shí)到了掌握這種正確思維方式的重要性，因此我告知好友：安全工程師的核心競(jìng)爭(zhēng)力不在于他能擁有多少個(gè)0day，掌握多少種安全技術(shù)，而是在于他對(duì)安全理解的深度，以及由此引申的看待安全問題的角度和高度。我是如此想的，也是如此做的。

因此在本書中，我認(rèn)為最可貴的不是那一個(gè)個(gè)工業(yè)化的解決方案，而是在解決這些問題時(shí)，背后的思考過程。我們不是要做一個(gè)能夠解決問題的方案，而是要做一個(gè)能夠“漂亮地”解決問題的方案。這是每一名優(yōu)秀的安全工程師所應(yīng)有的追求。然而在當(dāng)今的互聯(lián)網(wǎng)行業(yè)中，對(duì)安全的重視程度普遍不高。有統(tǒng)計(jì)顯示，互聯(lián)網(wǎng)公司對(duì)安全的投入不足收入的百分之一。

在2011年歲末之際，中國(guó)互聯(lián)網(wǎng)突然卷入了一場(chǎng)有史以來(lái)最大的安全危機(jī)。12月21日，國(guó)內(nèi)最大的開發(fā)者社區(qū)CSDN被黑客在互聯(lián)網(wǎng)上公布了600萬(wàn)注冊(cè)用戶的數(shù)據(jù)。更糟糕的是，CSDN在數(shù)據(jù)庫(kù)中明文保存了用戶的密碼。接下來(lái)如同一場(chǎng)盛大的交響樂，黑客隨后陸續(xù)公布了網(wǎng)易、人人、天涯、貓撲、多玩等多家大型網(wǎng)站的數(shù)據(jù)庫(kù)，一時(shí)間風(fēng)聲鶴唳，草木皆兵。

這些數(shù)據(jù)其實(shí)在黑客的地下世界中已經(jīng)輾轉(zhuǎn)流傳了多年，牽扯到了一條巨大的黑色產(chǎn)業(yè)鏈。這次的偶然事件使之浮出水面，公之于眾，也讓用戶清醒地認(rèn)識(shí)到中國(guó)互聯(lián)網(wǎng)的安全現(xiàn)狀有多么糟糕。

以往類似的事件我都會(huì)在博客上說點(diǎn)什么，但這次我保持了沉默。因?yàn)橐粊?lái)知道此種狀況已經(jīng)多年，網(wǎng)站只是在為以前的不作為而買單；二來(lái)要解決“拖庫(kù)”的問題，其實(shí)是要解決整個(gè)互聯(lián)網(wǎng)公司的安全問題，遠(yuǎn)非保證一個(gè)數(shù)據(jù)庫(kù)的安全這么簡(jiǎn)單。這不是通過一段文字、一篇文章就能夠講清楚的。但我想最好的答案，可以在本書中找到。

經(jīng)歷這場(chǎng)危機(jī)之后，希望整個(gè)中國(guó)互聯(lián)網(wǎng)，在安全問題的認(rèn)識(shí)上，能夠有一個(gè)新的高度。那這場(chǎng)危機(jī)也就物有所值，或許還能借此契機(jī)成就中國(guó)互聯(lián)網(wǎng)的一場(chǎng)安全啟蒙運(yùn)動(dòng)。

這是我的第一本書，也是我堅(jiān)持自己一個(gè)人寫完的書，因此可以在書中盡情地闡述自己的安全世界觀，且對(duì)書中的任何錯(cuò)漏之處以及不成熟的觀點(diǎn)都沒有可以推卸責(zé)任的借口。

由于工作繁忙，寫此書只能利用業(yè)余時(shí)間，交稿時(shí)間多次推遲，深感寫書的不易。但最終能成書，則有賴于各位親朋的支持，以及編輯的鼓勵(lì)，在此深表感謝。本書中很多地方未能寫得更為深入細(xì)致，實(shí)乃精力有限所致，尚請(qǐng)多多包涵。在安全圈子里，素有“白帽”、“黑帽”一說。

黑帽子是指那些造成破壞的黑客，而白帽子則是研究安全，但不造成破壞的黑客。白帽子均以建設(shè)更安全的互聯(lián)網(wǎng)為己任。

我于2008年開始在國(guó)內(nèi)互聯(lián)網(wǎng)行業(yè)中倡導(dǎo)白帽子的理念，并聯(lián)合了一些主要互聯(lián)網(wǎng)公司的安全工程師，建立了白帽子社區(qū)，旨在交流工作中遇到的各種問題，以及經(jīng)驗(yàn)心得。

本書名為《白帽子講Web安全》，即是站在白帽子的視角，講述Web安全的方方面面。雖然也剖析攻擊原理，但更重要的是如何防范這些問題。同時(shí)也希望“白帽子”這一理念，能夠更加的廣為人知，為中國(guó)互聯(lián)網(wǎng)所接受。全書分為4大篇共18章，讀者可以通過瀏覽目錄以進(jìn)一步了解各篇章的內(nèi)容。在有的章節(jié)末尾，還附上了筆者曾經(jīng)寫過的一些博客文章，可以作為延伸閱讀以及本書正文的補(bǔ)充。

第一篇我的安全世界觀是全書的綱領(lǐng)。在此篇中先回顧了安全的歷史，然后闡述了筆者對(duì)安全的看法與態(tài)度，并提出了一些思考問題的方式以及做事的方法。理解了本篇，就能明白全書中所涉及的解決方案在抉擇時(shí)的取舍。

第二篇客戶端腳本安全就當(dāng)前比較流行的客戶端腳本攻擊進(jìn)行了深入闡述。當(dāng)網(wǎng)站的安全做到一定程度后，黑客可能難以再找到類似注入攻擊、腳本執(zhí)行等高風(fēng)險(xiǎn)的漏洞，從而可能將注意力轉(zhuǎn)移到客戶端腳本攻擊上。

客戶端腳本安全與瀏覽器的特性息息相關(guān)，因此對(duì)瀏覽器的深入理解將有助于做好客戶端腳本安全的解決方案。

如果讀者所要解決的問題比較嚴(yán)峻，比如網(wǎng)站的安全是從零開始，則建議跳過此篇，先閱讀下一篇“服務(wù)器端應(yīng)用安全”，解決優(yōu)先級(jí)更高的安全問題。

第三篇服務(wù)器端應(yīng)用安全就常見的服務(wù)器端應(yīng)用安全問題進(jìn)行了闡述。這些問題往往能引起非常嚴(yán)重的后果，在網(wǎng)站的安全建設(shè)之初需要優(yōu)先解決這些問題，避免留下任何隱患。

第四篇互聯(lián)網(wǎng)公司安全運(yùn)營(yíng)提出了一個(gè)大安全運(yùn)營(yíng)的思想。安全是一個(gè)持續(xù)的過程，最終仍然要由安全工程師來(lái)保證結(jié)果。

在本篇中，首先就互聯(lián)網(wǎng)業(yè)務(wù)安全問題進(jìn)行了一些討論，這些問題對(duì)于互聯(lián)網(wǎng)公司來(lái)說有時(shí)候會(huì)比漏洞更為重要。

在接下來(lái)的兩章中，首先闡述了安全開發(fā)流程的實(shí)施過程，以及筆者積累的一些經(jīng)驗(yàn)。然后談到了公司安全團(tuán)隊(duì)的職責(zé)，以及如何建立一個(gè)健康完善的安全體系。

本書也可以當(dāng)做一本安全參考書，讀者在遇到問題時(shí)，可以挑選任何所需要的章節(jié)進(jìn)行閱讀。感謝我的妻子，她的支持是對(duì)我最大的鼓勵(lì)。本書最后的成書時(shí)日，是陪伴在她的病床邊完成的，我將銘記一生。

感謝我的父母，是他們養(yǎng)育了我，并一直在背后默默地支持我的事業(yè)，使我最終能有機(jī)會(huì)在這里寫下這些話。

感謝我的公司阿里巴巴集團(tuán)，它營(yíng)造了良好的技術(shù)與實(shí)踐氛圍，使我能夠有今天的積累。同時(shí)也感謝在工作中一直給予我?guī)椭凸膭?lì)的同事、上司，他們包括但不限于：魏興國(guó)、湯城、劉志生、侯欣杰、林松英、聶萬(wàn)全、謝雄欽、徐敏、劉坤、李澤洋、肖力、葉怡愷。

感謝季昕華先生為本書作序，他一直是所有安全工作者的楷模與學(xué)習(xí)的對(duì)象。

也感謝博文視點(diǎn)的張春雨先生以及他的團(tuán)隊(duì)，是他們的努力使本書最終能與廣大讀者見面。他們的專業(yè)意見給了我很多的幫助。

最后特別感謝我的同事周拓，他對(duì)本書提出了很多有建設(shè)性的意見。

吳翰清

2012年1月于杭州

白帽子黑客培訓(xùn)（白帽子黑客訓(xùn)練營(yíng)）