一个人学了武功，如果用它来除暴保和，就是侠客；如果他用它来抢劫房子，那就是盗窃。一个普通人掌握了网络安全技术，还是一个选择成为着魔的堂吉诃德，手持长矛企图逆转科技方向的风车？还是选择科技填补自己的成长路径，向社会传播爱与思考？23岁的腹黑有自己的答案。
作者|刘秉义
编辑|陈
武侠世界有“武器谱”，黑客江湖也有自己的榜单。腹黑是“中国白帽黑客榜”上的新星。腹黑，1998年出生，中国知名安全团队白帽100负责人，CTF团队创始人，第46届世界技能大赛网络安全项目国家集训队成员，工信部“车联网漏洞分析专家工作组”专家，网络安全工程师培训教材《网络安全Java代码审计实战》第一作者。
在强敌环伺的信息安全事件中，多次击败来自著名高校和企业的对手。然而，这样的“天才白帽黑客”只有职业院校作为学历，相关技术基本都是自学的。
图:腹黑
初中的时候，别的同学还在网吧打游戏，他就沉迷于逛论坛找bug，通过提交漏洞逐渐实现了经济独立。高中时，他曾“混进”大学组参加网络安全竞赛，获得一等奖，却因为“未成年”被踢出局。
最近，他参加了由两季蚂蚁集团举办的ATEC科技精英大赛“Burn，天才程序员”。作为攻守兼备者，他通过检测黑产的信息，为AI研究人员提供了推动科技反欺诈所需的特殊样本。同时，黑客结合AI推进网络安全的合作模式也为可信AI提供了有益的探索。
今天，我们走近这个不走寻常路的他，听听他的故事。
数字一（one）
变得疯狂起来，痛打自己一顿。
抢一次血，是每个司机心中最初的贪婪。黑肚皮对着满屏的代码挠头，挖bug是他玩的最滑的东西，不能输！当他绞尽脑汁，突然发现一个漏洞，第一次提交题旗，就弄了个血。一种安慰充满了他的四肢。他看着还在对着显示器皱眉的对手，扯出一个得意的笑容。
这是他第四次和第五次...我不记得他参加过多少次CTF比赛。反正他现在的江湖地位，可以随便交叉着胳膊跟学弟学妹吹牛，可以让对方觉得很满意，说“有学问”。
CTF(Flag Race)又称旗帜赛，是网络安全领域技术人员进行技术比拼的一种竞赛形式。参赛队伍通过攻防对抗、程序分析等形式，从比赛环境中获取一串字符串或其他具有一定格式的内容并提交分数，已经成为全球网络安全圈流行的比赛形式。
电视剧《亲爱的，亲爱的》将CTF推向了大众的视野。腹黑是电视剧里的主角“枪”。为了让他的CTF队WM发展壮大，他不惜连哄带骗，卖色卖身，不断忽悠那些在CTF圈玩的人——加入我们的队伍，路过不要错过，带你去躺，赢，飞。
图:腹黑在CTF比赛现场。
别提了，确实有人被忽悠瘸了。加入CTF，一个未知的祝福和不幸的比赛。
CTF竞赛模式可分为三类:问题解决模式、攻防模式和混合模式。
在攻防模式的CTF赛制中，参赛双方通过挖掘网络服务漏洞，攻击对手的服务来得分，并修复自己的服务漏洞进行防御，避免丢分。参赛选手拼的不仅仅是智力和技巧，还有体力，还有团队分工合作的考量。
听起来超级正义？想象一下:在CTF的世界里，玩家拥有淡淡的金手指，摆脱沉重的肉体束缚，手持由代码制成的利刃，荡涤世间的不公...太优雅了吧？
醒醒！真正的CTF竞技场伴随着高压和刺激，竞技场经常会遇到“世界名校”和“超级大脑”这样的大对手。腹黑和队友为了解决问题，往往什么都不管，光着膀子，穿着拖鞋。吃饭靠外卖，游戏靠熬夜。一个就是几个星期，每天睡一两个小时呼吸，一场比赛后睡两天能把血带回来。决赛的房间可能也很糟糕。没时间扔吃剩的外卖，地上甚至能找到几双臭袜子。
正所谓，苦了你的心，废了你的筋骨，饿了你的身，废了你的身空，未必总能给你一个大勋章，一个大红包。
酒让人害怕，腹黑，喝酒。有一次，在一次比赛中，他带着其他队的人去喝酒，对手真的是被一杯杯暗藏功勋和名气的小酒灌醉了，第二天全部迟到。腹黑为自己辩护“一个菜一个酒徒”，但谁知道对手喝不了？
总之，和他做队友可以收获很多安心，做对手很可怕。他精通技术和战术。
图:腹黑和队友一起研究竞赛题。
场上会出现各种突发情况，攻防队员不能想的太常规，不然很难发现隐藏的旗子。在参加比赛的过程中，腹黑删除了服务器的代码，“疯狂到可以打自己”。怕电脑被入侵后失密，他干脆把服务器删了，自毁了。
通过比赛，不同的火花可以与各路大神碰撞，刷新信息安全的前沿认知，学习更多的技术技能，以比赛的形式证明自己——所以腹黑很享受比赛。
据不完全统计，腹黑获得了2019年ByteCTF线上大赛一等奖、2020年SCTF国际网络安全夺旗大赛一等奖、“第五届空”网络安全创新能力大赛一等奖、2021年智能网联汽车破解奖励大赛一等奖、第四届“强网杯”全国网络安全挑战赛二等奖等等。
图例:参赛证书的一部分
注射毒品
白帽黑客的成长
渴望证明自己，几乎是每个年轻人在江湖上生活的动力。只是在腹黑身上，这种欲望更加纯粹，就是腹黑对网络安全的热爱。凭着多年的经验，虽然年轻，腹黑在网安界已经小有名气。“CTF团队创始人WM”听起来很有领袖的气势。即使达不到全能的力量，放在一个23岁的男生身上，也足以传递出不可小觑的潜力。
有些人可能会问:这块“钢”是怎么炼成的？
首先，如果你想听一个关于造神的故事，这里没有。
腹黑的学历背景是职院和专科。得失相依。他在兴趣上花了太多精力，学业和兴趣之间没有很好的平衡。高考的失败看似一记重拳，但他依然“从一个错误中折射出自己的梦想”——把所有的申请志愿都填到了自己感兴趣的信息安全专业。2017年入读台州科技职业学院，信息安全与管理专业。
但是草蛇灰线，他对技术的偏执是可以追溯的。
世纪之交的《黑客帝国》等电影让人们意识到黑客有着如此酷炫的身份。当时大街小巷贴满了电影海报，吸引了无数科幻迷。2000年，《万王之王》开启了中国网络游戏的新篇章，网吧的黄金时代来临，许多“网虫”开始了他们在网络上的第一次体验。
描述:1999年黑客帝国电影海报
1998年出生的腹黑，在浙江温州长大，紧跟时代脉搏。沿街网吧的招牌如雨后春笋般出现。江浙人聪明能干，对新事物积极，吸收快。他的成长无法避免全民拥抱互联网的趋势，他也从很小的时候就开始关注并对互联网、黑客、网络安全技术感兴趣。
小时候腹黑，妥妥的一个“熊孩子”。
他的父母特别困扰:精力旺盛，好奇心强，经常找不到人...有一次，他和一帮朋友跑到他家附近的山上玩，那是一座相当危险的坟山。他和朋友不小心打死了一条蛇，回家后却什么也不敢说。查了资料后，他们发现这其实是一条眼镜蛇，他们吓坏了。
对他来说，在家里弄坏一个坏掉的设备是很平常的事。他经常偷偷跑去网吧，爸爸拧着耳朵回来。他作业做得不好，经常惹得爸爸追着他，妈妈跟他和好。
第二年暑假在家，他一时兴起想破解邻居的Wi-Fi密码，于是在网上翻找资料，想知道如何破解。虽然最后没有成功，但由于失误，他打开了一扇神奇的门——
他第一次知道网络有很多漏洞，渐渐接触到了“网络安全”这个领域。那时候他年轻，发现漏洞就去网上炫耀。在论坛上，大家都很崇拜技术，他也会因为这种崇拜而鼓励自己去寻找更高级的漏洞。别人挖一个，他就决心挖一个更厉害的。
然而，他对游戏不感兴趣。他去网吧尝试一些“奇怪”的东西，比如想着怎么打开才不会被封号；发现一些绕过收费系统的漏洞等等。——小时候零花钱少，就想尽一切办法免费上网。
当时他只觉得自己做的事情很“好玩”，并不知道这是一种“黑客”行为。随着接触的深入，他逐渐了解了红客文化和白帽...慢慢的，他对“黑客”有了一些敬畏和其他的感情。
互联网诞生之初，黑客还是一个中性的概念。直到1988年，康奈尔大学研究生罗伯特·莫里斯(robert morris)的一个测试程序中的代码变成了危险的蠕虫，一夜之间摧毁了无数数据和资料。无意中诞生在互联网上的蠕虫病毒，开启了人类在网络世界博弈的新篇章。同时，黑客一词被赋予了“网络攻击者”的含义。
所谓白帽黑客，相对于利用技术作恶的黑帽黑客/骇客，是锻炼技能，利用技术行善，合法赚取赏金的黑客。做一个白帽黑客，必须懂得编程，善于逆向思维，懂得抵御程序员写的层层保护。最重要的是要有道德底线。
在黑团伙眼里，白帽黑客绝对是一群傻子，拿着几十万上百万的漏洞换取几百块几千块的赏金。
每个男生都有一个英雄梦，双方都相信白帽黑客是正义的化身！在现代网络世界，黑客是反暴力、保和平的时尚英雄。这个英雄可能是一个蛰伏在网络深处多年，有着独立灵魂，凝视深渊，随时站出来伸张正义的绿林游侠。
途远网络
后来腹黑发现了一个专门反馈各种系统漏洞的平台。他试着提交了一些他发现的漏洞，他居然得到了报酬！从那时候开始，他渐渐不再向家里要钱，靠找漏洞和参与奖金养活自己。
高二的时候，他开始接触CTF，报名的时候错填了大学组。结果他的一个高中同学得了大学组一等奖，他兴致勃勃地准备线下决赛。决赛前，他突然接到通知，不能参加比赛，因为他还未成年。结果他终究没能参加决赛，但主办方还是给了他网络比赛一等奖。
小有名气后，他受邀参加在深圳举行的信息安全会议。对于一个还在读书的高中生来说，一个人出去的机会很少。他大妈也嘀咕了一句，“这孩子不会被骗进传销吧？”但最后他的父母还是支持他，因为经过长期观察，他的家人发现他并不是“无所事事”，对他修电脑的态度也发生了变化，逐渐理解和支持他。
他家里有自己的小工作台，摆满了气枪、电路板等乱七八糟的东西，打理了家里手机、电脑等所有电子电器的维修。
注意:工作台的角落
刚涉足网络信息安全圈时，他想到了一个朗朗上口的ID名——“腹黑攻”。在键盘上，字母F、H、G是连在一起的，所以在打字不方便的时候去掉了“攻”字。但“腹黑攻”这个词很契合他不按套路出牌，乖巧俏皮的性格特点。如今，“腹黑”已经是圈内响当当的名字了。
一个合格的黑客应该掌握汇编、操作系统、数据结构、离散数学、TCP协议、实战等技术。每天留出大量的学习时间也是必要的。每一项新技术出现，黑客都要在最短的时间内学会，精通各方面。黑客一旦停止学习，用不了多久，他就会变成一个只吃老本的平庸之辈。
腹黑象天生就是吃这碗饭的。自从初中接触到网络安全漏洞后，他每天都会留出大量时间处理技术问题，让那些乐在其中的人可以一直沉浸在技术世界里。
但命运的馈赠，早在暗中出价。腹黑文化课并没有网络技术上那么出彩。2017年，他收拾行李，去了台州科技职业学院。
他决心在自己擅长的领域扬名立万。
入学后，天高任鸟飞。他到全国各地实战比拼，“野路子”终于找到了“大军”。好在网络安全的世界里，技能水平是优于学历证书的。腹黑凭借自己的一技之长，找到了更广阔的舞台，展示了自己在网络安全研究方面的天赋。
通过比赛和活动，他认识了更多信息安全竞赛的队友。他经常泡在资料里寻找解决问题的方法。凭着精湛的技艺和深厚的爱心，他拿到了一手拿奖的软牌，毕业时拿到了厚厚的一叠奖状和奖状。
注:部分获奖证书
后来，他从自己作为职业比赛选手的知识和经验中，逐渐形成了比较完整的网络安全知识体系，并出版了《网络安全Java代码审计实战练习》一书。本书简要介绍了基本的Java开发环境，代码审计环境，常见漏洞的成因，审计和修复的技巧，以及代码审计的实际做法。它作为网络安全工程师的入门教材受到广泛欢迎。
插图:《网络安全Java代码审计实践》书籍样本
这位投身正义的“黑客”在安全研究的道路上取得了越来越多的成就，他的信念也越来越坚定:他要成为网络世界的守护者。
3
圈子内外
现在，腹黑是安恒车联网田文实验室主任，主要研究车联网和物联网中的车辆安全问题，成为了一名“白帽”卫士。图:腹黑作品
然而，网络安全有各种各样的情况。要成为侠客，腹黑知道仅仅玩游戏是不够的。如果把守护技能比作一把剑，那么纯网络安全领域的竞争只能算是“牛刀小试”。如果想通过上一层楼成为SSS in的高手，就必须去更丰富的场景，比如个人隐私保护。
隐私保护是“可信AI”的四大核心之一，强调使用差分隐私、联邦学习等AI技术，让AI模型在为用户提供精准服务的同时，保护用户的隐私。然而如今，传统的防御手段已经难以有效抵御日益复杂的黑产攻击。
近两年，腹黑参与了蚂蚁集团主办的“燃烧的天才程序员”，将黑客技术应用于AI，协助AI研究人员探索黑产攻击和欺诈交易的特征，将网络安全与AI技术创新相结合。在这次比赛中，腹黑不仅涉猎了AI，还成功圈了一圈。
腹黑以天才程序员的身份参加了两季。
他回忆第一季报名时开玩笑说:当时在网上看到赛事信息，一看就是“百万奖金”？如果我不下地狱，谁会？不难。他通过了面试，获得了资格。
在比赛场上认识了很多老朋友，比如小刀，gml。把程序保密才是好贼。赛前完全不知道赛制，连参赛选手都禁止见面。他和小刀因为偷夜宵被导演抓住了。节目开始录制，拿到技术文档，我隐约猜到应该是内网渗透相关的话题。据他回忆，当时我不知所措。因为我的工作性质，他很少接触域渗透，这次旅行可能会失败。
那不是白来的，只是为了好玩。他选择了用一生所学去“搅屎”。当初他尊重游戏规则，只靠暴力来修补漏洞。当他发现其他球队也在制造麻烦时，他开始进一步挑起事端。rm-rf上传了整个网页目录和他的黑页，搞对手心态。
图注:腹黑攻击对手页面
第一季被老朋友小导欺负。第二季，他约了小导报仇。鉴于他在第一季的出色表现，节目组对他进行了豁免。第二季开始的时候，他得知小导把他鸽子了。
黑肚皮的小头赶紧接过菜，势必有优势东山再起。他决定参加第二季比赛。
他提前做了一些功课，想以优雅的姿态参加这个上相的比赛。他信誓旦旦地告诉节目PD:“这次一定不能滚！我要平躺！我是来混的！”
说到比赛，大家拉他吃饭他都不吃，叫他睡觉他也不去。PD问他:“你不是说不滚了吗？”腹黑开玩笑说:“你敢相信男人说的话吗？”必胜的信念自然刻在了他的基因里。一旦投入工作，“滚”和“斗”是他无法摆脱的特质。
第二季的片名是Trusted AI，主办方会把攻守双方引入节目来开片名。攻防玩家帮助AI玩家获得不同于普通用户的黑用户信息，帮助AI玩家获得特征值，建立更可靠的模型。在这个节目中，腹黑这样的攻防选手通过检测黑产的信息，闯入黑产系统，拦截抓取黑产的数据，提供AI研究者需要的特殊样本，帮助AI选手进行增量学习。
结果非常好。腹黑率先取得优势，为队友赢得额外时间。他的球队毫无悬念地赢得了冠军。
这一实践启发了黑客与AI结合促进网络安全，也为可信AI的发展提供了有益的探索。在AI+X的“X”中，黑客技术也能占有一席之地。让腹黑和白帽卫很有成就感。
网络安全越是严峻，越需要春风和雨水的守护，让黑产等不法分子如鲠在喉。
腹黑摆摆手:他的黑产保卫战之旅，只写了一个开头，未来由江湖知晓。
Leifeng.com/Leifeng.com
