T00LS专访白帽子：carry_your和带头大哥【T00ls人物专访第八期】

---本文作者:[email protected]

安全行业从业者，也许都听说过“带头大哥”。他们是我们心中最高的追求，这其中有一个响亮的ID，叫carry_your。



我是在去年认识carry_your的，他和我说，他不喜欢北京的天，于是结婚后便去了上海。在他从北京去上海的时候，正是我从上海来北京的时候。之前请教过他几个技术问题，他很认真的回复。我和他未曾见过面，但从网络的另一端我能强烈的感受到他斗志昂扬的样子。

我一直对补天月度排名第一、总积分排名第一的他充满了无数的好奇，很难相信他每个月都稳定的排第一。我相信他是白帽子的缩影，是无数白帽子心中的榜样。也许白帽子都希望能够成为补天第一，至少他做到了。我不知道他是如何做到的，也不知道他是一个怎样的人。今天，我们有幸采访到了他，这是carry_your第一次站在大家面前讲自己的成长历程。我希望通过这篇文章，我们可以走近真实的carry_your，可以了解真实的白帽子成长史，也希望通过此文让更多的人了解白帽子这个群体。当然，在这篇文章中除了这些之外，carry_your还将独家分享他是如何站在白帽子的角度挖掘漏洞的。

时间回到2007年，那时候他刚初中毕业，暑假无聊的他，迷上了玩网游机战。在一次游戏交易过程中接收了对方的病毒程序，导致他游戏账号被盗。这之后，游戏也无心继续，心里一直想着着病毒程序，想黑回去。艰苦奋斗一个月之后，他通过修改别人写的盗号程序的源码，成功打造了一款新的盗号程序，并成功黑了回去。拿到了当初盗取他账号的人的QQ密码，成功将QQ的密码重置。在这之后，在安全行业一发不可收拾。不过当时的他是菜鸟。

有了上一次成功的基础之后，他接触到了远控，06年、07年是灰鸽子远控的鼎盛时期。他配置出了一个灰鸽子远控。通过程序捆绑方式控制了英语老师的个人电脑，无意中获取了期末考试的英语试卷以及答案，那一年他的英语成绩，他舍友的英语成绩，不小心全部是100分。那一年，他高一。

从高二开始，他开始疯狂的爆破服务器、批量抓鸡。巅峰时控制了很多台PC电脑。后来因法律法规的逐步完善，他也就停止了。法律在安全这个圈子里有着巨大的能量，如果没有法律我不知道现在的安全环境会是怎样的一番情景。

2010年他高中毕业，暑假却再也不无聊了。他开始深入的学习安全技术，专攻web方向。同一年，他和几个小伙伴劫持了中国红客联盟的主站，篡改了首页。

2012年4月份的中菲黑客大站，他拿到了很多个菲律宾网站的shell。见识到了某大牛用一个0day一口气拿到了成千上万个shell，这让他开始崇拜黑客这个群体，在此之前他只是喜欢。事实上确实如此，黑客不但很酷，他们也可以随心所欲做一切自己想做的事情。从那之后，他几乎将所有的时间都用在了学习网络安全技术上面。

当他顺利考上安徽某大学的时候，做的第一件事情便是很多黑客做的事情。

大学期间，他经过长达半年的不间断努力，通过一系列的源码审计、社工、嗅探、以及各种漏洞的利用等方法，最终成功进入学校主站服务器。之后将完整的漏洞报告给了校方处理。我问他，你最难拿下的一台服务器是那次？他说：“最难拿的一台服务器应该就是学校主站的服务器，最开始只拿到了和主站服务器同C段的一台服务器，运气也比较差，嗅探了几十天才成功拿到主站服务器密码并成功登陆，整体来说我的运气比较好。”很多人都说没有拿下自己学校服务器最高权限的黑客，不是一个不合格的黑客。显然，他是合格的。

大学毕业前一段时间，同学们开始着急的着手写毕业论文、各处群发式的投递简历。carry_your做了一个决定。他开始对全国各大高校进行安全检测，涉及200多个高校系统如清华、北大、复旦等，几乎包含了所有的大学。他发现了很多漏洞，全部提交到了库带。那一个月，他第一次成为了库带计划月度第一名，并以此为敲门砖成功进入360实习。

2015年的时候他为了兑换一个佳能6D作为元旦礼物，他在乌云网上面提交了大量的高质量漏洞，一个月的时间，他获得了1500WB，成功换取了佳能6D。这也让他成为了乌云RANK排行榜前10。

2016年年初，他开始在补天平台挖掘漏洞。4月的时候，成为了月榜第一，总排行榜第一，并且一直保持到现在。我惊奇的问他：你担心有一天被超越，成为补天第二吗？carry_your笑着和我说：“我觉得被超越是一件好事，如果被超越，那将是对我最大的鼓励，会让我更有动力去不断学习完善自己。”

现在，他在富友做安全，负责富友集团安全的建设。在上海朗爽的晚上，他常常沿着外滩慢跑一个多小时。在浦东新区跑一个小时回家，爱人与女儿在家等着他。今年，他才24岁。

生活中的他不只有网络。有一次他的朋友手机被盗，他通过黑掉盗窃Iphone的团伙的收信系统，帮助朋友找回了手机，文章很精彩：http://bobao.360.cn/news/detail/3559.html。

这就是真实的carry_your，我所钦佩的carry_your。


【1】对话carry_your:

1.最开始学习技术的时候是通过什么样的方法学习的？现在呢？

    开始通过看杂志（比如黑客X档案等），以及一些黑客论坛，慢慢了解病毒原理。现在通过更多的是自己对安全的关注与研究以及朋友间的交流。

2.在那些论坛组织学习过？写过那些黑客工具？

    土司论坛、红客论坛、法克论坛等。早些时候写过C段扫描器、JBoss无需部署war拿shell、DZ创始人爆破工具、一句话木马爆破等。

3.家长对你学习黑客技术持有什么样的态度？亲朋好友之间有学习黑客技术的吗？

    学习黑客技术是自己的一个爱好，当时也并没有告诉父母，直到大学毕业以后找到安全相关的工作，他们现在很支持。亲朋好友没有学习黑客技术的，就在我们小城市学习黑客技术的人也是少之又少。

4.还有什么其他的兴趣爱好吗？在黑客领域之外，还关注那些领域的知识？

    业余时间我喜欢台球、乒乓球、旅游等。黑客领域之外，还关注体育和电竞。

5.挖掘漏洞最重要的是什么？运气的成分有多少？

    最重要的是耐心，积累经验。运气占一定得比例吧，比如嗅探目标机的时候，恰好目标机有人使用的时候效果最佳。

6.挖洞奖励最多的一次是？最难挖的一次是？最容易挖的一次是？

    一个漏洞9K块。最难挖的一次就是某银行的众测，因为该银行之前已经大量众测过，所以漏洞极少。最容易挖的是政府和学校网站的漏洞。

7.如何看待白帽子这个群体？

     我个人认为白帽子的存在是非常必要的，如果不是白帽子发现各大厂商大量的安全漏洞帮助厂商修复，很多企业有可能因为漏洞被利用而破产倒闭；公民信息将会更大量的泄漏而导致毫无隐私可言；白帽子的所做的事情和黑产仅仅一线之差，全凭个人信念以及原则，但有时候却得不到厂商的尊重；

8.如何成为补天第一？擅长挖掘那类漏洞？

    从大的方面来说，是坚持，以及对补天平台的信任。小的方面来说，就是需要开阔自己挖漏洞的思路，不要局限，否则就没办法源源不断的挖到漏洞。目前擅长挖掘逻辑漏洞、越权、sql注入。

9.那家SRC奖励最多？那家SRC的漏洞最容易挖？

    要说奖励的话，PSRC我个人认为奖励比较高，而且厂商不扯皮，审核也比较用心。LSRC的漏洞比较好挖，不过大家对LSRC的热衷程度也很高，竞争很大。


【2】carry_your的生存现状

1.现在的状况是什么样的？未来的打算是什么样的？

    首先要做好自己的本职工作，保障公司安全。未来打算往安全架构上发展，学习和研究关于SOC的建设问题与方法。

2.职场经历过那些公司？就职过那些公司？分别负责那些内容。

    曾实习于360webscan部门，后成功转正。之后离开北京到上海富友工作。负责公司所有系统的安全检测与修复工作、新系统上线测试、公司SRC的日常审核与运营、合作公司的安全检测等。

3.在甲方工作的这些年，最大的收获是什么？职场改变了你什么？

    最大的收获应该就是可以从一个公司的角度来学习和研究安全，而不再只是一个白帽子的角度。职场让我从一个业余选手变成了专业选手，让我学习的知识得以致用，而且可以和开发交流心得，能更好的知道一个漏洞从产生到修复的详细情况。


【3】对当前网络、信息安全的看法

1.网络安全事故频发，你如何看？

    网络安全事故的频发具有两面性，一方面可以突出安全对国家、企业和个人的重要性，另一方面也说明了我们国家的企业和政府对安全建设的欠缺。

2.国内外的企业应该怎么样避免这些事件的再次发生？

    国内企业大多喜欢“捂被子”，不愿意去接收漏洞带来的影响，只是想把事情掩盖过去，不过随着近年安全环境的利好形势，大部分公司也慢慢开始重视安全，不再一味的躲避。国外企业其实跟我们也差不多，不过就是他们的安全环境在之前已经很好，所以很多企业也愿意为自己的安全事故买单，比如国外某网站被脱裤会发公告通知大家修改密码，而国内一些企业只会一味的推脱而不以用户为本。

3.对黑产和白帽子的看法，为什么一些人选择了黑产？

     黑产这几年发展的越来越强势，涉及的方面越来越多，虽然政府打压却也是野火烧不尽春风吹又生。其根本原因是“人才”，大量白帽子走上黑产的道路，是的黑产有源源不断的新生力量。我觉得一些人选择黑产，黑产的暴利是一方面，另一方面也是自己的能力无用武之地，还有作为白帽子也同时承担着风险，这样长久以来一些意志薄弱的人就会转投黑产。白帽子跟黑产比起来，属于弱势群体，既没有法律保护也没有高额回报，所以我对能选择白帽子，并一直做下去的人都十分认可，不管技术高低，起码做事对得起良心。

4.有人说黑客圈技术环境变了，在你看来之前的环境是怎么样的，现在的环境是怎么样的？

    去年某佳缘的事件以及某云的关闭，又是让一堆白帽子伤透了心。之前的大环境虽然也存在一些隐患问题，但是对安全的发展是极有利的，大家安全不离口，技术交流也没停过，相信现在很多公司的安全人员也是白帽子出身。现在的环境却显得十分压抑，使得之前很多技术不错的白帽子或转行，或隐匿，或是走向黑产，对这些我也是心急与无奈，但我始终坚信作为白帽子是正义的，我的坚持也是正确的。

5.健康的技术环境应该是怎么样的？

    分享与交流，才可以让白帽子整体的安全水平提高，大家一起对新技术进行分析与交流，对新漏洞进行研究与预警，对白帽子提交的漏洞进行确认修复与感谢等。

6.黑客需要一个什么样的环境？国家，企业，社会，媒体，个人应该怎么做？

    政府提供法律法规的支持与保护。企业提供更多安全相关的就业岗位，以及对白帽子提交漏洞的修复与认可。社会对白帽黑客所作出的贡献给与肯定。媒体对白帽黑客多一些真实的报道。个人应该提高自我素质，提高技术，远离黑产。

7.白帽子的积极意义有哪些？消极意义有吗？

    1.没有网络安全就没有国家安全，顺应国家网络安全的需要，为国家安全的发展做出力量；
    2.帮助企业发现自身无法发现的安全问题，让企业安全水平提高，避免因漏洞而产生的数据泄露与公关危机；
    3.给安全行业提供源源不断的新生力量，让企业安全从0到1；
    4.能够与黑产作斗争，保护广大人民群众的隐私安全，很大程度上减少类似徐玉玉事件的发生。


【4】对将要踏入信息安全行业的新朋友们提一些建议

1.有的朋友放弃学业专心学习技术你怎么看？你的学历是什么？

    能在不放弃学业去学习技术，最好不要放弃，在中国的大环境下，学历依然是你的敲门砖。我现在学历是本科，但是我工作后才发现学历是会影响你的晋升的，我也在工作之余学习，为进一步提高学历努力。

2.他们认识信息安全行业对学历的要求并不高，你怎么看？

    安全行业虽说技术好可以不看学历破格录取，但是纵观安全圈各个大牛，有几个学历低，学校的学习不光是学习技术，也可以学到人沟通与交往的技巧，提高素质，提高智商与情商。

3.新手朋友应该注意那些问题才能更好更快的成为补天第一呢？

    1.坚持，不要三天打鱼两天晒网；
    2.静心，不要心浮气躁整天抱怨；
    3.学习，关注安全技术扎实基础；
    4.视野，学会变通切勿钻牛角尖；
    5.信念，坚持对的事情不要堕落。

4.想成为信息安全行业的技术大咖，现在应该怎么做？应该注意那些问题？

    要多放低姿态向大牛请教问题，不要为自己的一点小成就沾沾自喜，要谦卑，还有就是技术上的学习要扎实，不要好高骛远。不要过于贪图眼前利益，要找对发展方向，并坚持不懈。


【5】朋友眼中的carry_your

system_gov:人高马大的粗汉子 挖洞牛人还有一股不服输的干劲。

Blood_Zer0：不是内向，却总是沉默不语，只要挖起漏洞，犹如打了兴奋剂。找点准，速度快，能坚持，是我对他挖洞的形容，对漏洞总是很敏感，作为朋友很钦佩他。

衰大：去年在北京第一次见面，很玩得来，一起划船一起撸串。是一个很稳重的男孩子，也是一个老司机，更是一个漏洞挖掘机。

陆羽：坚持不懈是成就安全圈大神的重要因素，如果你也可以每天坚持跑步6公里，半年瘦xx斤，或许你也可以成为像carry＿your一样低调开朗、挖洞大神、刷爆各大漏洞平台、年薪百万的隐形富豪。