秘密-乌云漏洞镜像-0基础漏洞教程

秘密-乌云漏洞镜像-0基础漏洞教程

让安全领域变得公开透明，打破行业的信息不对称，又能得到官方支持——无论怎么看，这样的事都不大可能发生在眼下这片土地上。

可乌云做到了。

2012 年，CSDN 数据泄露事件让乌云名声大噪，此后优酷接口漏洞、微博控制漏洞、豌豆荚应用缺陷各类漏洞频繁曝出。今年的携程信用卡信息泄露事件掀起高潮，年底又曝出 12306 密码泄露、联通系统漏洞。乌云让越来越多的企业和用户意识到，这些与生活如此接近的服务存在这么多被忽视的安全问题。

仅仅五年时间，一个小小的网站就这样不问出处，在鱼龙混杂的安全市场中找到自己的位置，并迅速成长为中国最大的安全漏洞报告平台。

这五年间，乌云究竟发生了什么？一枚不一样的孢子生长成群落，又究竟需要多少运气？

诞生：一枚不一样的孢子

孢子 (spore) 是脱离亲本后能直接或间接发育成新个体的生殖细胞。

世界的开始是一枚孢子。

如果你看过《浪客剑心》，一定会记得那个手执逆刃、脸上有十字刀疤、名叫绯村剑心的男人，「剑心」——也正是乌云创始人方小顿更为人所知的 ID。

《浪客剑心》中的绯村剑心

行侠仗义、不问利益，不断追寻着自己所做事情的意义，大概所有真正身怀绝技的安全技术爱好者们多半都有的任侠之梦。

不过时间到八、九年前，在当时的中国互联网生态下比起如何在竞争中活下去，安全还并不是大多数企业必须严肃考虑的议题。

对于那些因为热爱而投身计算机、又热衷网络安全的技术高手，现实世界所能给予的出路似乎只有两条：要么前往「相对封闭的安全研究机构」，为国家信息安全服务但从此失去自己的声音；要么就是涉足「黑产」，攫取贩卖个人信息、盗取他人财产，为生计出卖自己的尊严。

网络安全狂热者们就像一颗颗散落各处的独孤孢子，游荡在在浩瀚的互联网世界。但彼此之间暗藏着聚成群落的向心力——这种难以言说的力量如此强烈，以至于产生了第三种可能。

而方小顿——这个来自湖北黄冈、学习化学的 15 岁大学生，在发现 ! 漏洞后迈入安全世界的大门，并最终获得了进入百度安全部门的通行证，这也让他有机会结识到更多志同道合的人。

由于网络安全工程师们数量稀少，惺惺相惜的彼此形成了紧密的技术圈子。尽管公司之间拥有不可逾越的「高墙壁垒」，但热衷技术的人心之间并没有隔阂。BAT、新浪、搜狐等几家大公司的安全人常常在自建的群组中讨论安全问题：「这个问题大家遇到过么？」「这个漏洞如何修补？」

隐藏在 ID 之后这些并不具名的个人，在对技术的共同热爱下找到了久违的自由和切磋成长的环境。在这个圈子里，人们不必理会背后大公司的利益，技术与代码胜于雄辩。

在百度工作三年之后，大公司的生活开始让方小顿感到困惑——他意识到安全领域的封闭无力，又充满各方的误解。

在大公司的决策者眼中，安全是一件看上去「什么都没发生」的工作：主观上，决策者们希望安全事件什么也别发生；可若安全部门真的全年没有「动静」又会被质疑公司花出的成本都去了哪儿。安全是一件需要规范化成体系完成的精密工程，但多数公司意识不到，能够养得起成规模安全团队的公司在业界也是凤毛麟角。

另一方面，安全领域是信息非常不对称的：不规范的安全公司出于利益利用很小的漏洞敲诈企业，攻击者与防御者的信息不对称还会造成信息堡垒。同时，人们在不断将生活信息搬运到网络平台的这个时代，信息安全问题却被大多数企业和个人低估，用户对企业安全如何也并不清楚。

方小顿意识到只让这些知识和技术传递在小圈子之间是不行的，互联网是一个泛群体，一家公司能做到的事情是极其有限。相应的「自由」氛围应该扩大化——让更多人了解安全领域，并帮助感兴趣的人们学习到相关知识并深入其中快速成长，同时更多的人才能了解到这项工作的重要性。不仅仅是个人和企业，只有这种方式才能让安全这个尚显「稚嫩」的行业健康发展。

「封闭一定是不健康的」，「每个人都可以参与其中，行业才有机会。」方小顿如是解读乌云的初衷。

能承担这些责任的，绝不可能是任何一家大公司。

就这样，乌云诞生了。

起步：乌云是如何运转的

在这个不做「云」都不好意思和人家打招呼的时代，与网络安全相关，无论是技术还是思路都会有点黑色的感觉，所以自然出现了乌云。

「乌云就是想告诉大家，云技术是有风险的，乌云就是一个预警。」

起初，乌云还只是由「剑心」方小顿、「疯狗」孟卓两人在业余时间维护、类似个人网站一样的存在，活跃用户也还只是当初群组里的那些「老人」。由于乌云社区里没有真名，只有 ID，使得乌云上的每个用户都是不需担心现实世界利益纠葛的「自由」个人，每个人都可以以个人身份提交任何自己发现的漏洞。

在乌云的网站上，漏洞上报经审核后会出现在「最新提交」一栏中，厂商领取确认后则会下移到「最新确认」，漏洞修补后则会进入「最新公开」，一般会经历 45 天的周期：

1. 5 天厂商确认周期（5 天内未确认视为忽略，直接公开）；

2. 10 天后向核心及相关领域专家公开；

3. 20 天后向普通白帽子公开；

4. 30 天后向实习白帽子公开；

5. 45 天后向公众公开；

6. 期间厂商可自行提前公开，向普通白帽公开的时候可以使用乌云币购买提前查看漏洞细节。

在 5 天厂商确认周期中，乌云会积极联系厂商反应、并提醒修复漏洞。已注册过的厂商则会收到提醒，目前乌云的注册厂商已经有 630 条记录。

随着乌云上漏洞信息的积累，越来越多对该领域感兴趣的人们在其中学习交流、上报漏洞，滚雪球般的，乌云慢慢超越技术圈子，开始越来越多的出现在众人眼前。

在乌云的准则中有一条铁律，便是漏洞信息永不会被删除。这不仅是为保持平台的公正，更重要的是可以让更多从事安全工作的研究人员能够学习到这些内容，绕过别人曾掉过的「坑」。

博弈：乌云背后的拉锯战

作为第三方乌云努力保证自己的公正，但不可避免的是「漏洞」这个词在大部分人看来是「不安全」的象征，并非利益同盟的厂商们会默认你是敌对方——特别是在互联网安全这个有些暧昧不清的领域。

敏感的厂商会愤怒「为何抓我们的漏洞？」甚至怀疑是收取他人钱财敲诈——「漏洞是我们自己的事情，乌云又有什么权利公开信息？」而乌云严谨的漏洞公开准则，也使得企业的「公关」失去了能力，这很难不让习惯「灭火」大公司怒火中烧。

2011 年，刚成立一年的乌云网连续披露京东、支付宝、网易等著名互联网企业存在高危漏洞。直到当年的 12 月 21 日，乌云曝出中国最大 IT 技术社区 CSDN 漏洞，超过 600 万用户资料被泄露时，事情走向了拐点，乌云关闭了。

这次关闭之后乌云选择了调整步伐。在 2012 年 1 月 17 日发布的公告中乌云新增了部分漏洞信息披露流程、细则，并对用户进行了分级。他们还写道：「最重要的是，我们没有放弃也没有改变，我们提倡的原则现在是这样，将来也是这样，平等自由透明尊重。」

此后，乌云更是指出支付宝 2500 万用户资料泄露、酒店开房信息泄露、腾讯 7000 万 群用户数据泄露、携程泄露用户信用卡信息等一系列安全问题，名声也越来越大。

但这一路的艰辛没有人比乌云自己更了解：2012 年，曝出某运营商漏洞的乌云因为不肯删除漏洞，惨遭暴力拔网线；2014 年乌云遭遇疯狂 DDos 攻击，宕机 18 小时；同年又被 SAE 云计算平台出于压力莫名屏蔽……甚至还有人以乌云的名义敲诈企业，或者针对乌云网站进行疯狂攻击。

坚持将漏洞信息公开、不曾妥协原则的乌云，遇到各类不曾料想过的问题，但方小顿始终相信「越到后面会越好」。

有趣的是，作为一个网站，乌云也没少被白帽子们测试，同白帽子打技术战的乌云，「在代码层面是已经是没有问题的，如果真的出现问题，那就应该出现在第三方或逻辑上。」

群落：那些沉静可爱的年轻人

称职白帽子就是通过网络安全专业技术去钻研/挖掘计算机、网络系统漏洞的人。但是他/她们不会去做任何的破坏，同时会告知管理员漏洞内容及修复方案。

——《白帽子讲 web 安全》

在北京西北角的一间大厦里，神秘的乌云团队就在这里办公。

至今 5 年的时间里，曾在乌云社区中学习成长的年轻人出于热爱也有不少也加入了这个群体。不断扩大的乌云团队也曾辗转搬家好几次，直到某互联网公司得到乌云的大力帮助，心怀感激的创始人将这个大开间友情转让给乌云，他们才真正有了一个像样的落脚处。

《攻壳机动队》某种程度上也是关于入侵人体的故事

在乌云的办公室，你很难听到他们使用真名，乌云 ID 才是他们之间最常用的称呼。他们中的大部分人都有微信但没有开通朋友圈，即便开通也差不多是一个月更新一次的频率——在这个社交信息过剩的时代，你很难从他们朋友圈中看出些什么。甚至连快递——没有人知道包裹的真正主人是谁，就连收快递的名字他们也几乎一周更换一次。

在这个「乌托邦」中生活的年轻人大多羞涩而善良。第一次见面时他们大多选择沉默，熟悉后会向你绽放出热烈的笑容，甚至还会戴上暴走头套，并不介意扮一扮大肚子王尼玛。

「肉肉」是一个大方爱笑的高挑姑娘，大学学习信息安全很早听说乌云，从尚未毕业就在这里实习；创始人之一的「疯狗」，就是被大家喜爱、在现实生活中同样风趣幽默的乌云君；这里所有人都拥有技术背景，甚至行政妹子都是学 Java 出身的。

出人意料的是乌云尚且是个人数不多的小团队。对于乌云来说，最大的「宝藏」是活跃在平台上的白帽子——5 年之间乌云已汇集了白帽子 7000 余人，其中活跃用户超过 1000 人，日均上报漏洞超过 100 个。

在这之中，毋需十分关注安全领域你也一定知道一个叫猪猪侠的人——就是他曾曝出携程信用卡漏洞引发轩然大波。作为核心白帽子猪猪侠已经在乌云平台上提交了 206 个漏洞，百度、新浪、腾讯、阿里巴巴、携程、搜狐无所不包。「道哥」曾写过「神一般」的 V 哥被众人认为是猪猪侠的原型，但真实与否并不可考。

你一定以为猪猪侠是个三十多岁的中年胖子？但事实上的猪猪侠是一个 85 后清秀少年——这样的反差萌你一定不懂吧。

另一位核心白帽子 因为曾经长期盘踞精华漏洞提交数第一名而被大家尊称为「一哥」，事实上一哥十分腼腆且不善言辞，曾经是一名来自普通软件公司的程序员，时常觉得看不清未来。偶遇乌云找到兴趣所在的一哥疯狂学习技术、迅速成长，直到他在乌云上的突出「业绩」被发现，最终得到一份既符合兴趣、薪酬待遇又相当不错的工作。

如果你在乌云的搜索框键入「华住」，会发现 2015 年 1 月 3 日有三个连续、由「路人甲」提交的华住酒店漏洞。事实上这是某位和妹子共度春宵的白帽子在新年夜入住后发现的。至于当天晚上究竟发生了什么，除了他们，大概没有人知道了。

白帽子并不神秘也并不可怕，他们和生活在我们周围的年轻人一样——有些理想化、单纯善良，并没什么不同。

规则：凝聚社区的基石

白帽子是一个无论在地域还是在社群中都相对分散群体，但作为社会性动物人类天然有交流的欲望，因此拥有良好社区氛围、自由平等开放的乌云将这一群体聚集起来也并不是难以理解的事情。日均 20 万左右 IP 的乌云，PV 竟高达 200 万，用户的黏性高得可怕。

网络另一端的白帽子，真实的社会身份往往是千差万别的

这一群体中的每个人在生活中都有不同的身份，有 BAT 的工程师，也有大学生、网管甚至快递员。「不深入一项业务，没有人会专门去挖漏洞。」大部分漏洞的「灵感」来自生活——入住酒店的白帽子出于对安全的敏感会测试到一些安全漏洞，使用订票网站也会测试看看，再或者用到 BAT 相关服务的功能白帽子也会相应测试——这也是此类型漏洞在乌云平台上占比较高的原因。

「用户足够多，乌云上就会有漏洞，因为有漏洞是一件很正常的事情。」来自乌云的 Wudi 如是对极客公园表述漏洞的常态。

乌云的生长离不开自身的良好规则，除却尊重、进步、意义这三项乌云最基础的使命与灵魂，乌云最重要的一条原则是坚持公开——漏洞一旦被公开就不能删除。

在方小顿看来，坚持漏洞公开就是给用户知情权，因为在此之前是否有人利用过该漏洞攻击并没有人清楚；对企业而言，同行业者的漏洞是可以学习、不需再犯的，也是避免问题的方式；对于社区来说，通过信息开放，学习知识的人们会在这一平台上成长起来。

「信息安全得到保护，最核心的就是人。」

即便顶着巨大压力，在此规则下运转的乌云如受了加速力般被越来越多的厂商认可，厂商们的态度也有最初的不解开始逐渐有了变化。

~

网络安全学习，我们一起交流

~