金帽子提名 | 如果用一个词来形容404安全实验室，那就是务实

在安全圈，404安全实验室是个非常火的团队。它活跃在安全圈，也活跃在社交媒体上。

它为什么这么火，有人总结道，这是因为知道创宇内部的成员自发的进行分享，成为了一种文化。

它就是是个怎样的团队？知道创宇404安全实验室的副总监隋刚为我们展现了团队真实的一面：如果用一个词来形容404安全实验室，那就是务实。

事实上，知道创宇404安全实验室是一个技术非常强的团队。它曾多次获Adobe、Oracle、Evernote等多个致谢；从2014年的“心脏出血”漏洞，到永恒之蓝，背后都有404安全实验室为整个行业作出了自己的一份贡献。

这一次，嘶吼小编和知道创宇404安全实验室的副总监隋刚展开了对话，带我们领略知道创宇实验室的分享精神。

一旦加入，就会感觉到激情澎湃

小编 ： 我看到“404”这个字，第一反应是HTTP 404，知道创宇404的名字由来是什么？

隋刚 ： 很多人都问过我这个问题，404的来源其实就是来源于门牌号。当时我们是在金威大厦的404室，之前叫研究部，现在就叫404安全研究实验室了。

小编 ： 您是什么时候加入知道创宇404安全实验室的的？为什么选择加入？加入后的第一印象是什么？

隋刚 ： 我是15年下半年的时候加入的。我有个很不错的哥们，他原本就已经来到知道创宇了，和我分享到，当时整个404团队都在打CTF。这种比赛现在很流行，但早在三四年前它还不是特别火，比赛是对漏洞的理解和漏洞利技能的考量。我原来所在的在传统网络安全公司里面是看不到的， 一旦有了这种氛围之后，你就会有那种激情澎湃的状态。

小编 ： 传统安全企业当时是什么样的？

隋刚：传统的这种网络安全公司更多的针对于设备上的安全、企业内网的安全。

小编：以防护为主吗？比如杀毒软件、防火墙、堡垒机？

隋刚：对。

小编：知道创宇和传统安全企业有什么区别？

隋刚：互联网安全它的性质和传统安全不同，这个范围变大了很多。比如2014年“心脏出血”的那个漏洞，如果把它放在企业内网的话可能这只是发了一条公告：有个“心脏出血”漏洞出现了。而这个漏洞的影响面或影响范围以及它能造成什么影响这些都是没有的。 但如果你站在知道创宇404安全实验室角度去看，因为有ZoomEye网络空间安全搜索引擎，那么整个放眼过去看的是整个互联网空间，我们看到更多的是漏洞在全球层面的影响，它能够间接的看到不同国家区域的处理情况和应急效率。这其实是一个量变到质变的过程。

小编：我近期看了404安全实验室的专栏，发现从15年到现在我们的研究方向有着很大的变化。团队最早期发表关于挖洞的文章比较多，而近期则是区块链安全等方向。我们的研究方向是如何进化的？

隋刚：最早的时候创宇404安全实验室所关注的是“猥琐流派”：WSL（web方向）+CSL（二进制研究方向）。但是随着这个整个业务发展和互联网安全的变化，我们404安全实验室也在积极应对变化，404安全实验室就会针对不同的业务会产生了新的团队，到目前知道创宇404安全实验室已发展为包括404安全漏洞研究团队、404网络空间研究团队、404积极防御团队、404先进技术研究团队、404未来安全研究团队、404区块链安全研究团队、404安全保障支撑团队、404 ScanV安全服务研究团在内的综合安全研究团队，安全能力覆盖各细分领域和行业未来发展方向。

小编：知道创宇的业务发展路线是什么，实验室在发展的过程中秉承着什么样的理念？每个研究团队在内部产品生态中的分工和背后的逻辑是什么？

隋刚：在上一个问题里其实已经提到了404安全实验室工作都是围绕“打造公司的安全核心能力及品牌建设”的职能展开的，那么404的理念就是服务支持好公司业务的发展，打造成为世界一流安全实验室。团队的分工和背后的逻辑就是源于此。

如何不Out：越往前走，对个人的素质的要求越高

小编：我们在采访时还听到隔壁有团队成员在进行分享，404安全实验室是不是一个特别热衷于分享的团队。

隋刚：是的，我跟黑哥（知道创宇首席安全官周景平）一直以来都非常认同坚持与分享。团队内部比如有一些不错的一些技巧，不管是漏洞方面还是极客方面的，我们都会去推进。这样就会带来一种信息的互通，包括技术上的一些沟通交流，由此可能会碰撞出一些不错的一些点子或者火花。

举一个例子，我们404武汉团队有一个成员，他发现了一个XSS漏洞，他把这个漏洞的具体细节跟我们小伙伴分享了出来，我们的小伙伴又继续去复现这个漏洞，然后进一步的去跟踪，最后发现可以这漏洞进行RCE（远程命令执行），等于把这个漏洞又提升了一次，找到一个更牛逼一些的漏洞，最终获得了致谢。

小编：您作为404安全实验室的“禁军教头”之一，在日常工作中有没有什么感触？

隋刚：我觉得是要 帮小伙伴们充分发挥自己的特长 ，就是更聚焦吧。 因为这些小伙伴如果看不到自己明确的方向，他们会茫然。如果你只是只是告诉他该去做什么事儿，而不告诉他做这个有什么意义，或者有什么目的的话，时间长了他会很茫然，就找不到方向感，他不清楚真正的目标在哪儿。他可能只是针对一个事儿完成的很好，但是他不知道一个长远的规划或者说一个目标。

小编：有没有特别感谢你的小伙伴？

隋刚：有好几个，不是一个。比如说我们有一个小伙，他最初进入404安全实验室的时候什么都搞，也什么都想搞，而且他很羡慕我们团队其他小伙伴的环境。为什么羡慕呢？因为他原来在学校的时候没有这种安全研究社团组织，就是只是说自己觉得这个东西挺有趣的，去琢磨一下；但是他相对于其他有社团这种氛围来说小伙伴来说，其实没有一个比较好的根基。我后来就慢慢把他带到IOT方面，现在他在这个方面也算小有成绩了，他已经做出了一些漏洞分析和挖掘的工作。

小编：知道创宇的博客上有一个研发技能表，（http://blog.knownsec.com/Knownsec_RD_Checklist/index.html）可否详细介绍知道创宇的小伙伴有什么样的技能，加入知道创宇需要有哪些技能？

隋刚： 这个技能的话是死的，其实更多看的还是个人的一种态度。 我们提供的技能表只能能够提供给你一个大致的方向感， 主要还是个人去努力、去坚持、去做。 我认为技能学习是无止境的，技多不压身嘛。但是需要注意的是岗位基本技能匹配，根据不同岗位可能需要的技能侧重点不一样，至于加入我们相比技术技能之外我们更看重人的道德人品及学习能力。 一些被忽视的软能力也非常重要，比如文档、沟通等能力。

小编：努力和坚持只是一方面，其实方法也很重要，您和404的团队成员是如何保持自己的学习能力，让自己不Out的？

隋刚：我们会有一个大致的能力模型。在我们内部，比如说实习生会先做漏洞应急，去熟练整个的这种漏洞的这种复现；那么再往上一层就是要把漏洞具体细节整理成Paper。再往上就是我们会尝试着把这些东西通过写成POC等方式给它展现出来。

小编：作为一个404安全实验室的安全研究成员，如何走在技术的最前列？

隋刚：坚持，还是坚持。因为其实你越往前走，对你个人的素质的要求是越高的。

我们刚才聊到是为什么我们从Web一直走，走到现在区块链呢。安全也是在发展的，到了现在，我们很难发现一个非常严重的漏洞，攻击方法也发生了变化，以往的攻击可能一个洞打遍天下，现在很难。现在的攻击方式更侧重于针对供应链的攻击、漏洞的组合利用等。 如果你要想挖更好的洞，那么你要对底层的技术要更清楚，对你来说也是一种更高的一种要求。

除了技能之外，的我们更看重的是人的态度和一个学习能力，和道德人品。为什么这样说？因为大家都知道就是我们是一个白帽公司，那么在互联网上这种黑产其实是非常猖狂的，因为你如果道德人品不过关的话，很容易就去做黑产，反而就不太好了。

小编：安全技术从病毒特征码时代到了人工智能时代，整个技术日新月异。未知的领域它的技术，机会和挑战在哪里？我们是如何做的？

隋刚： 更多的是学习，多去学习。 整个知道创宇公司也是一个学习成长性的一个公司，404安全实验室也是一个不断成长的团队，你肯定要面临不同的环境，这种变化而作出挑战。比如说我们404安全实验室，就有可能会像黑产“学习”，这个“学习”不是说去做坏事，而是我们会去部署一些蜜罐，会发现黑产的套路其实是在变化的。我们去年永恒之蓝爆发出来之后，就发现黑产会利用永恒之蓝的漏洞在攻击全球的服务器，搞定服务器后去下载挖矿代码，最初我们觉得也没怎么样，但是后面我们发现挖矿代码是呈直线往上升，我们觉得这个可能有点问题了，因为黑产对经济的追求是非常敏感的，他们一旦发现有巨大的经济利益价值存在的时候就立马就扑上去了。知道创宇一直以来都在对抗黑产，我们就赶紧掉头去学习了区块链相关技术。

但是等到下半年的时候我们会发现整个区块链的世界在走下坡路。从我们观测到的数据发现黑产也在转向，又转回了以前流量攻击的老路线，他们也在变，所以 我们要根据黑产的变化去调整，这是一个对抗的过程。

小编：知道创宇404安全实验室为行业做出哪些贡献？

隋刚：不敢说我们404实验室引领安全行业潮流，但是在我们擅长的领域确实做过不少行业创新的事情，比如说我们在2013年发布了网络空间搜索引擎ZoomEye、基于Seebug漏洞平台漏洞应急体系包括“照妖镜”在线漏洞扫描模式，到我们今年推出的基于暗网空间测绘及情报系统及区块链方向上的系列研究等等，都可以说在国内甚至可能是国际上都是走在行业前列的输出，当然还包括了一些具体的安全研究上的成果， 我这里谈一个点，暂不谈虚的只谈实的。

比如说2014年的那个心脏滴血，15年的 Java 反序列化化，16年到17年的永恒之蓝，这些时间点上你要注意看，知道创宇404安全实验室文章也好或者说报告也好，其实跟的是非常紧的。早在14年的时候，整个国内可能还没有漏洞应急响应的这个概念，或者是比较弱化的；但是你现在再看一看，其实是已经推动了整个国家层面的这个变化了。不能说知道创宇404安全实验室是最主要的，但它在这一方面是做出不少的贡献的，比如说对永恒之蓝病毒的研究，其实我们都会有数据支撑的， 就早在永恒之蓝没有爆发之前，方程式组织泄露 工具 的时候，我们已经对全球各方面进行了排查、应急。

如果用一个词形容404，那就是务实

小编：如果用一个词来形容404安全实验室，您认为哪个词比较合适？

隋刚： 我认为是务实，因为整个公司的业务，404团队的成长其实是随着公司的那个发展而变化的，整个过程是一个循序渐进的过程。为什么说务实呢？就是我们比如说还拿漏洞应急来说，我们都会实际的去复现或者验证，我们现在每年做应急就已经做了一百多份。此外，我们的研究，我们的Paper，都是我们实际亲自去动手做过的，就是我们对技术其实是有这种追求的，就是坚持不懈的追求。所以我认为务实这个词比较合适。

小编：在404安全实验室的眼中，极客精神是什么？

隋刚： 在维基百科上的共同点是：对技术的崇拜与对创新的不断追求。 这个定义我其实挺赞同的，引用黑哥经常给我们提的一句：坚持与分享。我认为这个就是我们的极客精神，有兴趣的可以关注我们的paper.seebug.org这个平台，我们很多最新的研究成果paper都会在这里共享发布。

小编：您有没有什么想要对大家说的话？

隋刚：其实抛开技术和金钱而言，情怀其实也挺重要的，我经常会跟黑哥一起谈这个情怀这个问题，就是虽说现在这个物质很重要，但是在这个互联网安全的这个空间里面如果没有了情怀，这个你作为安全研究其实就会变味，就是不管是，因为你稍有差池就有可能会出一些问题，比如永恒之蓝已经被武器化了，变成了一个大杀器，如果没有情怀会很很危险。 我不提国外怎么样，中国人心里面始终有一种家国情怀，这个前几天跟同事一起喝酒我也提过，家国情怀其实还是挺重要的。

小编：在404安全实验室前行的过程中，我们会灌输这种精神吗？

隋刚：会，肯定会的。不过这个东西真不好说，它不是具体的技术，好与坏，时间能证明一切，就跟刚才那个问题一样，时间能证明一切，我们会努力。虽然可能不一定达不到很高的巅峰，但是我们会一直朝着这个目标去往前走。

我不知道你们有没有看我们办公室走廊上面，就是有一幅照片：创始人IC和老杨扮成大侠，在这里我想提八个字，也是金庸先生笔下的话：侠之大者，为国为民，这就对我们的精神有了很好的诠释。

小编：被金帽子奖提名有什么样的感受？

隋 刚： 非常荣幸，也非常的高兴，这是对我们工作的一种认可，我们也希望能跟更多的人分享我们的研究成果，感谢主办方，也感谢一直支持我们的404安全实验室的朋友们。