“哥斯拉”作者张一臣:我19岁,但别叫我天才黑客 | 極谈01

阅读量    77844 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

这里是凌晨四点的酒仙桥。整个北京还在沉睡,白天熙攘的街道此时显得幽长。张一臣下楼,微凉的夜风吹在他的脸上,网约车在路边等他。

汽车平稳行驶。他打开手机论坛,有人私信他的ID“BeichenDream”:“哥斯拉这个工具是你写的吗?太牛了兄弟!”

通过汽车后视镜,司机能看到张一臣露出晨光般的灿烂笑容。作为这款工具的作者,这位02年出生的19岁白帽,还是露出了点少年心性。

 

1.人生的锚点

张一臣最初与网安行业结缘,是因为曾经风光无两却又争议不断的“乌云”团队。
在当时,乌云正处于风雨飘摇之中。但吸引他的并非是乌云团队在时代背景下的悲壮与矛盾。原因足够单纯,张一臣觉得“他们太酷了,在网络上简直无所不能。”
“无所不能”对当时的张一臣有着致命的吸引力。这其中包含着神秘感、力量、尊严,最重要的是生活的掌控感。他还记得自己第一次看到乌云团队文章的激动:“看完了喘不上气,终于知道了自己想要的是什么。”
那年,张一臣15岁,在一所大专读书。
张一臣的初中成绩并不算差。但中考后,由于年少贪玩及对未来规划的冲突,他和家里大吵了一架。青春的叛逆加上家人的不理解,使本该阳光灿烂的青春也蒙上了一层“乌云”。
在家里呆了半年,张一臣没办法再考高中,于是读了大专。大专不够“体面”,那些议论声刺耳。有亲戚聊到他的前途,都会突然停下,然后更换话题。
这是一段咀嚼起来略带苦涩的时光,他只能用迷茫和青春期特有的郁结来填充。如张一臣所言,在接触乌云,遇到网络安全之前,他都不确定自己想要什么。
这似乎不符合一些人对“天才黑客”人生模板的想象。但有时,在合适的土壤里,种子才能破壳而出。
彼时,乌云已经停摆,但张一臣的网安之路刚刚踩下油门。他联系了几位一起学习的小伙伴,沉浸在黑客的世界里。
成长的过程并非一帆风顺。入门时,由于读不懂SqlMap的帮助文档,他没法使用这个工具,只得手动进行SQL注入,一个漏洞做了三天都没有任何成果。
但天赋是藏不住的。2019年,在中国最大的黑客大会——KCon 大会武器展上,张一臣发布了MySqlT,一款反击数据库攻击者的工具。MySqlT一举成为了武器展上的大热。在网络安全领域,张一臣开始小有名气。
在2020年,因为疫情,张一臣被困在家里。由于在攻防演练中,市面上的红队工具不够“顺手”,不符合自己的使用习惯,张一臣决定,自己开发一款全新的Webshell管理工具。
他在家里拉上窗帘,开始没日没夜的写代码。偶尔写累了,拉开窗帘,外面是漫天星辰。再回去写,不知过了多久,拉开窗帘,外面还是漫天星辰。
一个月后,在一万多行代码中,Webshell管理工具“Godzilla(哥斯拉)”问世。
相比市面上的其他权限管理工具,哥斯拉集成了大量的后渗透插件,在功能更加强大与丰富的同时,还有高稳定性、支持低版本服务器等特点。
哥斯拉的出现,一举破除了众红队在静态查杀、流量通信等方面的困局。

Godzilla的海外评价:比其他同类工具更多的功能和网络规避能力(注:JSP webshell为Godzilla的一个子模块)

命名时,张一臣与几位伙伴就众多创意进行了投票,其中包括“貔貅”、“饕餮”、“迪迦”,甚至有人提出“巴啦啦小魔仙”。最终的名称敲定,源于一位伙伴是Eminem的粉丝,最近几天在循环听《Godzilla》——这才免去这款工具的魔仙堡籍贯。
工具反响强烈。有白帽子惊叹:“哥斯拉的流量加密方式太厉害了”、“不得不佩服,这工具的思路非常有创造性。”短短半年时间,哥斯拉的下载次数接近6w。在GitHub上,哥斯拉有1.9k的标星数。

有近百人以“哥斯拉粉丝”自居,发来邮件,希望深入交流。还有海外工程师询问,是否可以更新英文版本。

之前的生活像在刻舟求剑,白帽子的身份,让张一臣的人生重新有了锚点。

 

2.是事业,也是热爱

刚刚加入360政企安全集团高级攻防实验室的时候,张一臣还显得有些拘谨。但很快,出色的技术氛围让他完全融入了进去。
作为最了解现代攻防领域的专业安全团队之一,360政企安全高攻实验室曾经披露过国家级攻击、侦破过跨国犯罪、协助抓获过境外间谍,也获得过Google、Apple的公开致谢。
张一臣意识到,在360政企安全高攻实验室宣传册上的“攻防领域尖刀,技术全能王者”这句看似张扬的描述,实在所言非虚。
当我问到他最崇拜的黑客,张一臣眼神突然一亮。“最崇拜我的组长!没有之一!”
组长的ID叫Zcgonvh,曾发现了微软邮箱服务器漏洞。因为头像是四个大字——“这是头像”,组员亲切地称他为“头像哥”。
张一臣认真地说,自己的短期规划,是在三年内追赶上组长的脚步。
一些有趣的细节也被一点点发现。团队伙伴描述,自己经常能在张一臣看到一种“游离感”,明明人就站在那儿,你叫名字也有回应,但他仿佛正置身于世界之外。这种状态有时会持续几个星期。
他表示,“游离”的时候,自己是在构思工具或者方法。
事实印证了他的说法。当他重新回到现实世界,就会开始没日没夜的写代码。过不了几天,伙伴们就能发现团队武器库中又扩充了条目。
“所以,我也不是经常凌晨四点才回家。”他笑着对我说。
人们在张一臣身上找不到“加班”的概念,因为连“上班”这个概念都被他淡化了。无论在家里,还是在酒仙桥的办公楼,他做的事情都只有一件——那就是网络安全。
“周末的时候我会选择多睡一会,起床后继续挖洞。”
这似乎是一种艺术家式的工作和生活状态。像是“除了睡觉之外的时间都用来写作”的巴尔扎克,当热爱和工作重合,生活从不缺乏激情。
就连玩游戏,他的方式也像是在工作。他通常会以“管理员”或者“GM”的思路玩游戏,因此没少被封号。
如同无数站在顶峰的黑客前辈曾走过的道路,张一臣如今已经有了令无数人瞩目的成就。在大多数同龄人还没想好自己的未来通向何处时,他已经在自己钟爱的土壤上结出了自己的果实。
但他表示,自己还有很多的进步空间。
“最近我在读几本书,比如《自制编译器》、《深入理解Java虚拟机》,里面很多思路和研究方向,都是自己之前没想到过的。看着前辈的成就,你会发现他们才是真了不起,我们都是站在他们的肩膀上。”
转过头,他又向我介绍起自己正在研究的技术,“Java asm字节码”、“Jvm虚拟机”、“.net Core”。谈起技术,他不自觉地微微直起身子,声音变得洪亮,语速快了很多。
说到后面,他甚至很“官方”地做了总结:
“如同周总所言,没有攻不破的系统,只有不努力的黑客。一方面是自己需要与时俱进,更多的学习成长,另一方面,自己也要承担起作为一位白帽的相应责任。”
如果说最开始加入网络安全行业,只是折服于黑客“侠客”一般的潇洒,经过这么长时间的打磨历练,张一臣也沉淀出更多的思考。
今年10月底,张一臣以360政企安全高攻实验室安全研究高级工程师的身份,在KCon 大会上,就“高级攻防演练下的Webshell”这一议题进行了分享。
讲完,组长笑着拍拍他的肩膀,“讲的挺好!”张一臣腼腆一笑。
我对他说,也许当很多年后,你也会拍拍别人的肩膀,鼓掌称赞。他微笑摇头,说自己没想过这些。
采访结束在秋日的午后。临别时,他说,有个工具构思的差不多了,希望最近能写出来。说着,他盯着咖啡杯里漾起的波纹,又陷入了恍惚。
分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多