不知不觉已经三个月没有更新博客了。其实技术文档一直在更新，不过由于各种原因一直躺在私有的 Obsdian 仓库里。要么是因为保密的原因不便公开，要么是自我感觉没有新意不值一提。回想起早些年刚接触网络安全的时候，对什么方向都充满激情，充满好奇，只要能学到一点新知识就会写篇博客进行记录和分享。现在动笔就要考虑颇多，已经少了很多当年的乐趣。

凛冬的寒风

众所周知今年的经济环境欠佳，寒气已经确实地传递给了每一个人。笔者作为某甲方企业的安全研究岗，也逐渐感受到了氛围的变化。说起安全研究，很多人以为是挖漏洞、写利用，其实研究包括很多方面。《黑客与画家》中说到，“优秀的设计不一定是新的，但一定是好的；优秀的研究不一定是好的，但一定是新的”。所以安全研究也会极力探索前言新兴的领域，比如可信计算、区块链、星链等等，这也曾经是笔者的部分研究内容。

这样的研究方向可想而知在以盈利为目标的企业中处于多么尴尬的境地。在经济环境欣欣向荣的时候，大家都一起高歌猛进，开疆拓土，也倒不会注意到我们这部分“闲人”。毕竟安全研究产出的论文、安全比赛或者国际安全会议议题也确实在一定程度上提升了企业的安全感。

随着经济环境下行，企业也逐渐开始关注起了人力资源的效率。“岗位称重”、“收紧队形”、“逃逸平庸的重力”，等等一系列金句被提出，字里行间确切地透露出一股寒气。

群鸦的盛宴

对于大多数企业而言，都是“业务先行，安全兜底”。尤其是在经济环境萧条的情况下，保持盈利、维持现金流是很多企业的要务之一。但其实不论在什么阶段，只要企业还在正常运转，就一定需要安全团队的支撑。加上国家监管对于企业安全的硬性要求，不到万不得已，一般也不会对安全岗位动刀。

不过，在这个时代什么事情都有可能发生。一方面企业可能出于侥幸心理削减了安全团队，另一方面则是出于简单的利益权衡——出事之后的损失加监管的处罚支出，小于供养安全团队的成本，那么在线上裸奔也是划算的。大不了加强一下法务和公关团队，只要把提出问题的人消灭掉，那就没有问题了。

在这种情况下，流失的安全团队成员对企业愤愤然，既存的安全从业者也人心惶惶。不管红队蓝队，都不免做出“一颗红心，两手准备”的规划。也许在阳光下大家还觉得一切稳中向好，但地下早已经暗流涌动，技术攻防的复杂度和专业度也不断地水涨船高。

来源: 奇安信威胁情报中心: 揭秘LIVE勒索软件利用IP-Guard漏洞的技战术

相比于早年使用 QQ 号留名或是用微信支付来收赎金的脚本小子，现今新闻中爆出的网络恶性事件背后出现了更多的专业技术人员身影，也许未来很长一段时间将会是国内赛博空间的常态。

魔龙的狂舞

当然，这只是一般安全从业者可能卷入的情境。对于安全研究员而言，情况又有所不同。首先研究方向脱虚向实，太超前的研究就不鼓励投入了。于是部分研究员又回到了老本行 —— 挖漏洞。不管是企业内部漏洞还是外部竞对、HW 漏洞，都是看得见摸得着的“产出”。另一方面，对于安全研究员自身而言，挖漏洞本身也是自己在职业中立足的一种重要方式。

早期许多甲方企业乐意供养着安全实验室去进行研究，企业得名，员工得利，皆大欢喜。随着寒气入体，老板们渐渐发现徒得虚名好像也没什么大用，Pwnnie Awards？听起来还不如 Gartner “领军者” 霸气呢！于是天x杯也不建议参加了，Blackhat 的机票也不报销了，安全研究员也要开始研究起自己的饭碗了。

或主动或被动，企业中安全研究终究会调整重心，要么为业务保驾护航，要么就直接躬身下场接客，把自己变成商业化的业务。这其中免不了会有人心生不满，毕竟大家都不喜欢变化。从前拿 bounty 讲议题还有公司的激励，现今 bounty 要抽水议题要自费还要担心被网信办鉴定为间谍。因此，一部分优秀的研究员就开启了 Anonymous 之路，以匿名的方式提交漏洞报告；另一部分就经常对着某logo 是纸飞机的社交软件交流。

毕竟安全研究员能卖的就只有 0day 了。如果遇到靠谱的中间人牵线搭桥，一些危险的 0day 也许能找到它们合适的归宿，某种程度上还为国家安全做出了贡献；倘若遇人不淑，也有可能流入到敌对势力，出现不愿看到的受害者，同时也将自己至于危险的境地。

当然，买卖漏洞是不对的，而且是非法的。但是昔日极客变成了骇客，昔日的勇者变成了恶龙，谁又有能力去限制它们呢？

初春的遐想

最后我想引用一句俗套的话：“道路是曲折的，前途是光明的”。现在确实是行业的寒冬，但冬天总会过去，春天终将到来。在当前，作为安全研究员也许暂时脱离了一线研究，但依然可以在安全行业中磨练基本功，同时也不要失去对未知的好奇和热情，也许在脱离企业的场景也能更好地审视自己的选择以及研究方向的价值。

在这里我也想呼吁有关部门能够真正重视网络安全建设，让更多白帽子和安全从业人员能够通过合法、正常的渠道发光发热，真正为社会和国家的网络安全做出贡献。同时，我希望有一天中国也能够开展类似于 hack DoD 的众测项目，也希望中国的 NSA 主任也能够以幽默的方式回复我的微博调侃，而不是直接被来总夹掉。

当然，这也只是遐想罢了。

LINKS

• Selling 0-Days to Governments and Offensive Security Companies (Video)
• Update About the 0-day Industry (中文翻译: 关于0-day数字军火行业)
• The offensive cybersecurity industry — trends and updates (中文翻译: 数字军火行业的兴衰及调整 - 趋势与更新)

版权声明: 自由转载-非商用-非衍生-保持署名 (CC 4.0 BY-SA)
原文地址: https://evilpan.com/2024/02/10/winter-is-here/
微信订阅: 『有价值炮灰』
– TO BE CONTINUED.

一篇零散的总结，记录了今年的安全研究感悟。

题图: cyberpunk girl @toraji

工作

这一年的工作重心跟着团队的方向调整，从业务安全转向了安全研究。说起安全研究，很多人想到的就是分析漏洞、挖漏洞，写利用。当然这是其中一个领域，安全总是和漏洞有着千丝万缕的联系，但漏洞只是一个结果，而研究本身则包含更多。

在企业里搞研究其实是有点尴尬的。本来安全团队在企业里就是不产生效益的边缘支撑角色，忙时救火，闲时背锅；其中安全研究又是边缘中的边缘，每天搞些稀奇古怪的玩意，也不知道有什么用。最重要的是，对于老板而言，没有很好的方式去量化研究性工作的价值。

安全研究体现成果分为两部分，一部分对外，主要包括刷漏洞/致谢，写技术分析文章提高影响力或者写PR文章提高曝光度；另一部分对内，但业务方向本身也有自己的局限性。优秀的设计不一定是新的，但一定是好的；优秀的研究不一定是好的，但一定是新的。正因为如此，在企业中做安全研究有点像是《进击的巨人》中的调查兵团，不仅吃力不讨好，而且经常死在半路上。毕竟大家面临的都是一片荒芜未知，无人之境，一条路走到黑还是及时止损？俗话说，行百里者半九十，掘井九仞犹为弃井，很可能放弃早了就错过了真正有价值的收获。

既然作为一项工作，就总得有产出吧？不管是 KPI 还是 OKR，总会需要一个能够量化结果的指标。优胜劣汰是社会不变的法则，这没什么好说的，只不过任何评价指标都是一把双刃剑，在指标的压力下很容易让人只关注结果。比如漏洞挖掘本身是寻找安全问题，但是指标关注的是漏洞数量而不是漏洞品相，就可能会导致很多人把软件 Bug 当做漏洞提交。一旦只追求结果，人就容易想方设法抄近路，在抄近路的过程中，人又容易迷失真相，做事的干劲也会逐渐消磨殆尽。

安全研究

虽然有很多槽可以吐，但做一行就得做好，因此时常也在想如何才能做好安全研究。鉴于研究二字本身就包含了不可预知的投入，所以目标是很重要的。没有人能告诉你这个方向能不能做，即便有也是站在他们自己的角度，可能并不适用于你。

套用学术界做研究的四阶段:

• 第一阶段，在导师指定的领域去做，不用考虑方向，只需要把事情做到极致；
• 第二阶段，自己找一些方向，然后在导师的建议下筛除一些，最后选定一个方向去做出研究成果；
• 第三阶段，自己去探索方向，自己去判断哪些可做，并且在自己选定的方向有研究成果，这一阶段完全独立完成，不需要导师的参与，因为比你了解这些领域的人不多了；
• 第四阶段，带着第一阶段的人，指引他们去做出自己的研究成果，也就是让自己成为导师。

不过社会和学校的一大不同是，很少有一个那么合适的导师，大部分人都是自学成才，这也是安全研究和学术研究的一大不同。漏洞本身是跟随着系统实现的变化而变化的，而实现又是偏工程化的领域，所以对于安全研究，我更赞同一句话:

Hack to learn, not learn to hack.

知识是无穷尽的，且不说最新的子领域论文一篇接一篇，教材、书籍、文档加起来也够消化一阵。曾经我就淌过这坑，之前在研究蓝牙安全的时候，硬是啃了一个星期的蓝牙核心协议文档，几千页的英文pdf，学到东西了吗？学到了，但是十分有限。从结果而言，还不如直接看 bluez/bluedroid 的代码或者 wireshark 抓包分析理解更深刻。这类的抉择有很多，比如研究 USB，是否需要先把 RFC 看完；想做 ARM 逆向，是否要先把 Cortex 的文档看完，……其实需要的时候再看具体章节即可。

保持克制

前面说到，在研究中找到合适的方向是很重要的一环，但这并不是一件简单的事。实际工作中随着研究的深入，会发现在某些关键点经常碰壁，以至于怀疑这个方向是不是没有搞头。如果正巧这时又有了别的新点子或者新想法，就会有强烈的冲动去换个方向。

这是人之常情，重要的是如何在这种情况下保持理智和专注。有人说真正有追求的人应该选择去挑战那些崇山峻岭，但高山不是一两天可以征服得下来的，甚至不是一两周、一两个月、一两年，……在这个过程中，不可避免地会陷入自我怀疑。要么怀疑自己的能力，要么怀疑自己的选择。

为了避免这种情况，就需要仔细再仔细地挑选目标。人们通常认为专注是对某件需要专注的事情说“好”，但事实并非如此。专注意味着对其他一百个好想法说“不”。

安全研究不是请客吃饭，不能东挖一铲子西挖一铲子。对于打工人而言，时间是尤其宝贵的。这一铲子下去，需要确保有足够的东西出来，要么是足够多的成果，要么是足够多的乐趣。下手之前做好长期坚持坐冷板凳的准备，下手之后就心无旁骛，全力以赴。

保持开放

对于安全研究人员而言，还有很重要的一点是保持开放，不要给自己设限。那位说这不是跟 ”保持克制“ 矛盾了吗？不错，确实是有点矛盾，或许作家协会可以考虑给我颁个矛盾文学奖。但矛盾是无所不在的，我们需要做的是在其间找到一个合适的平衡点。

举例来说，作为一个安全专家，女朋友电脑卡了让你看下，结果你说: “我是搞 Linux 安全的，Windows 我不懂，要不你重装个 CentOS”，—— 这显然不太合适。在研究中总会遇到一些全新的领域，其中某些会发展为未来的主流，有些会随着时代消逝，关键是保持开放的心态，不要把自己限制在狭隘的一个子领域中。

至于怎么选择，笔者认为可以参考自动化法则:

自动化法则: 如果某件事情手工做了三次，那么就应该写个脚本去进行自动化

也就是说，如果在研究中遇到在某个问题卡壳了三次，那么就应该花时间去深入探索。比如在研究 Linux 内核漏洞利用时经常遇到 NUMA node 的疑问，那么就值得花时间了解其原理和实现。这些点在当前上下文也许可以选择性忽略，但自己心里清楚，如果我从这里逃走，困难会在别的地方等着我。同时，让自己保持探索，也是避免思维陷入僵局好方法之一。

最后

2020年是忙碌的一年，曾经如饥似渴地学习各种知识，也曾经摆脱束缚放飞自我。不过最终还是摸索出了自己该走的路，关键在于权衡和取舍。一方面要保持克制，避免陷入知识的诅咒；另一方面要保持开放，避免自己固步自封。啰嗦了那么多，权当是作为自勉吧。