右边这个叫周景平，人称“黑哥”，他曾让中国黑客技术在某些领域世界于领先。请注意！不仅自己领先，还带动中国技术水平领先于世界。 这是一个刻板印象，谁说黑客就要穿披风戴墨镜？黑客也都很接地气哒！正所谓人在江湖飘，行事要低调，想想《功夫》电影里的几大江湖高手，六指琴魔、包租公婆、火云邪神，一个个多质朴。
2018年1月9日，TK曝出了一个既神奇又“猥琐”的黑客手法，能影响国内数百款手机应用，包括我们常用的支付宝、携程、百度外卖、12306智行火车票等等都曾中招。 你再点开一个链接，黑客能登录你的社交APP偷看你的聊天记录，如果APP有相册权限，还能偷看你手机里羞羞的照片。
当然，为了防止漏洞被黑产利用，腾讯在之前已事先通告国家有关部门（CNVD）。支付宝等主流APP响应迅速，已及时修复该问题。
当你听到、看到这些，可能心里会感叹，“这操作，好猥琐啊！”，通常前面还会用“卧槽”来加强语气。 其实你的真实意思是“这波操作好犀利/机制/脑洞新奇/机智。”、“还有这种操作？”，它的另一种说法：“这走位好”。 时隔数年，TK 把几个早已公开的风险点一组合，很神奇地形成了一套手法，击穿国内市场上数百款主流APP。
插孔觉得是插头做得太大；插头觉得是插孔间距不够，大家都是依照市场标准做的，谁也不服谁。单独存在时谁都没问题，放在一起就出了问题，那问题到底出在哪 ——整体设计问题。 早在2012年，黑哥就发邮件把系统的风险点报告给谷歌，当时他心想，即便不拿几万美元励，好歹做个好事能收到致谢。结果等到现在也到 —— 谷歌压根不觉得是个问题。 同样，手机厂商和APP厂商也不太注意。几个风险因素串在一起，最终问题爆发，大家一起攒了个烂摊子。 怎么处理呢？现在的情况是摊子最终烂在谁手里，谁就来，这次是各大APP厂商。可大家都明白，当洪水来临，没有任何一颗水滴是的。
当用户打开一个 URL网址，或者打开任意一种 Office 文件、PDF文件或者某些其他格式的文件，或者插上一个 U 盘——甚至不需要用户打开 U 盘里的任何东西，者都可以劫持整个目标网络。 2017年，腾讯玄武实验室叕发现了一个三星支付 SamsungPay 盗刷风险，也是基于几个简单事实：
多数人只知道拿钥匙开锁，这是一般用户；认真从外部观察过锁的人会想到通过拨锁舌也能开锁，这是比较好的程序员；在相应设计一个挡片直接拨锁舌，这是漏洞防护；学过开锁的人，知道怎么通过拨弹子这种通用的方法把锁打开，这是一般的信息安全技术人员；把锁拆开，观察内部原理，这是逆向工程；用逆向工程技术全面透彻地分析某种锁的内外结构、运作细节，设计出甚至无人谈及过的开锁方法，这就是安全研究。 然后我向他演示了一种我研究的方法，利用一个漏洞几秒钟就可以把锁打开。所谓“猥琐”，实际上就是基于对某个领域信息的全面掌握，提出达成某个目的的巧妙方法。这其实几乎存在于所有工程技术领域。比如说，利用巨磁阻效应制造硬盘、合成生物学，都属于“猥琐”。
可以想象，TK发现“克隆”时，没有聚焦在手机系统、APP等任何一个具体的环节，而是在俯瞰整条产业链，当所有点放在一起，构成了一幅清晰图景。 “学Windows的方法有三步，没有诀窍，也不用花钱买书：“一、先把Windows的帮助文件从头到尾看一遍；二、在Windows目录下搜索*.txt、*.htm?、*.log、，把每一个文件内容都看一遍；三、把注册表浏览一遍。” “其中刻苦是必须的，因为聪明的人太多了。但也不能忽略自己的优势和特质，比如我的优势就在于阅读、表达、好奇和另辟蹊径的探索方式。” 为什么他能找到潜藏在Windows系统里数十年的漏洞？因为对系统内外的每个重要，或看似不重要的点，都了如指掌。Windows 在他手里，像是捏在手里把玩了十几年的核桃，每一条纹都没放过。 如果对系统、手机特性、APP开发安全没有整体掌握，又岂能串起那么多看似不相关的风险点，发现“克隆”？ 说到TK，其本人的经历也令人。他学医出身，十几年前还穿着白大褂，为病伤捉疾，如今他已在网络安全之上走得比绝大多数人都远。早年，业内人给他起了个外号叫“妇科圣手”，如今大家还这么叫他，却带着些肃然起敬的意味。 巧的是，黑哥也是医科出身，几年前他还在湖南益阳的一家小医院给人切JJ，俩人被戏称“妇科男科两大高手”。写完此文，再回看文头那两张中年发福男子的照片，我又多了份敬佩。
时光让他们脑袋上多了几斤肉，里头却积淀着智慧（不知为何忽然想起高晓松）；手中多了个保温杯，里面盛的是成就和思考；腰带紧了些，肚里是年轻人没有的格局。他俩是上一代黑客的缩影，是下一代技术人追赶的背影。 人总会变老，我也希望自己到他们这个年纪，有他们这样的睿智、格局、沉稳。当然，前提是当下得踏实、刻苦和探索。完稿时，我望见窗外天色渐明，想把这篇TK和黑哥的小故事送给所有正追赶理想的人，一起加油！ 文中提到的“克隆”演示视频，以及一篇黑哥前阵子写的关于“猥琐流”的文章分享给大家，这里不允许放链接，请移步号浅黑科技查看~返回搜狐，查看更多
|
