中国黑客生存报告
“黑客”（Hack）这个词，最早出现在麻省理工学院的计算机文化中，被创造的时候，完全是一个正面的称呼。在乘车去往Menlo Park的路上，你会看到写着“1 Hacker Way（黑客路1号）”的路牌，那就是Facebook的总部。
1946年，世界上第一台电子计算机ENIAC在美国诞生。从此，一些最聪明、最有创造力的年轻人，开始进入这个行业，在他们的身上逐渐形成了一种独特的技术文化——“黑客文化”（Hacker Way）。
1961年，麻省理工学院（MIT）得到了第一台PDP-1计算机，学院技术模型铁路俱乐部（Tech Model Railroad Club，TMRC）的成员把它作为最时髦的科技玩具，最能干的聪明人会自豪地称自己为“黑客”。他们认为，要完成一个hack，就必然包含着高度的革新、独树一帜的风格和出色的技术。后来，这些黑客，成为了MIT人工智能实验室的核心成员。《黑客》 （Hackers）的作者史蒂文·利维，把他们称为计算机革命的英雄。
然而，随着计算机的普及，计算机病毒泛滥，黑客开始和计算机犯罪联系在一起。为了澄清“黑客”的概念，传统意义上的黑客认为只有拥有高技术水平和职业道德的人才能被称为Hacker，那些恶意入侵计算机系统的人应该被称为骇客（Cracker，入侵者）。
“今天的黑客文化已经没落了。”阿里巴巴安全总监陈树华对《财经天下》周刊感慨道。
如果说，最早的黑客是在追求有趣和探索精神，现在，更多的人则在追求更具实用性的名和利。
电商、互联网金融、云计算，金钱和信息从来没有像今天这样与互联网技术联系在一起，这给了黑客们接近财富的机会，也改变着他们的生存环境。
陈树华所在的安全部，被称为阿里“神盾局”。
英雄归来
3月18日，冬天刚过，乍暖还寒。
北京海淀的银科大厦和深圳的山区腾讯大厦里，一些人开始庆祝胜利，等待英雄归来。这里是腾讯安全的技术部门。
在刚刚结束的Pwn2Own2016黑客大赛上，腾讯派出的KeenLab（科恩实验室）战队，拿下了4个单项冠军，以38分的满分成绩夺得世界冠军头衔，成为“世界破解大师”（Master of Pwn），奖金20万美元。
Pwn2Own被称为“黑客世界杯”，Pwn是一个黑客语言，指攻破设备或者系统。今年，参赛队伍要攻破的是最新版本的微软 Edge 浏览器、苹果 Safari浏览器、谷歌 Chrome 浏览器、Adobe Flash 插件。每个参赛队有15分钟的时间，和3次试错的机会。
腾讯派出了两支队伍，分别由科恩实验室的陈良和来自腾讯电脑管家的邓欣带领。
寻找漏洞的程序是提前写好的。但是，每次比赛前的一两周，这些厂商都会推出一个超级补丁，修补他们最近发现的所有漏洞。这一补丁，也被称为“超级大补丸”。如果准备的漏洞恰巧在这一刻被修补了，那么，之前的辛苦也就白费了。
很不幸。赛前一周多，苹果发布了最新的补丁，陈良下载安装后发现，此前科恩团队找到的Safari的两个漏洞不见了。
除非发现新的漏洞，否则只能退赛。
没有时间闷闷不乐，科恩团队的成员开始尝试寻找新的漏洞，一位成员甚至把床都搬到了办公室。到了第三天，他们发现在苹果系统的视频渲染程序中，当两个锯齿重叠的时候，会发生微小的计算错误。陈良难掩兴奋，不停地拍着桌子喊道：“有了，有了。”
代码必须重写，涉及到视频渲染，非常复杂。在飞往温哥华赛场的飞机上，陈良还在写着代码。
主要对手是来自韩国的黑客神童 Lokihardt。在2015年的Pwn2Own上，年仅17岁的黑客Lokihardt同时攻破了IE、Chrome和Safari。而最近三年，他以一己之力，几乎拿到了世界黑客赛事的所有冠军。
不过，就在所有人都认为Lokihardt会再次成功的时候，Windows 系统突然弹窗，提示用户“该操作有风险”。
事后陈良得知，Lokihardt自己的 Windows 是在联网状态下安装的，但比赛用电脑的Windows却是在脱机状态下安装的，因此在攻击过程中突然多了一步对用户 ID 的验证。这是Lokihardt 在自己的电脑上无法发现的。
“幸运之神站在了我们这边。”陈良说。
打比赛，只是一小部分工作。更多的时候，他们都是在寻找漏洞，并及时反馈给厂商。
每个月他们都能发现十几甚至二十几个漏洞。4月份，邓欣所在的腾讯电脑管家团队报了14个漏洞给Adobe Flash。“我们打比赛的那个漏洞，被骇客掌握的话，给你发个PDF文档，你只要点开它，对方就可以控制你的电脑了。”邓欣对《财经天下》周刊说。
不过，软硬件厂商的安全意识也在不断的提高。微软、谷歌们除了修补漏洞，还出台了一些安全策略。此外，微软设置了缓解攻破奖金，如果你有一个很好的思路，能实现缓解攻破，就可以获得一笔不菲的奖金。
漏洞猎手
黑客或者研究人员，总带给人们一种神秘、酷炫的感觉。“你以为是一个非常有趣的事业，事实上完全不是这样，你要耐得住寂寞，像我们团队的吴石，十几年来很少出差，也很少出国旅游，基本上天天和代码打交道。”陈良说。
陈良所说的吴石，是在国内黑客圈被誉为“殿堂级”的人才，也是陈良的师兄。目前为止，他已经发现并报告了IE、Safari和Chrome等浏览器中存在的近200个严重漏洞。
Keen Team的创始人王琦，在2007年负责创建微软中国安全响应中心。有一天，美国总部来了一个电话，让他去找一个人，总部发现，在Windows操作系统漏洞的上报者中，一个人的名字出现频率极高，就是吴石。
王琦找到吴石时，完全被后者穷困潦倒的生活惊呆了。当时，国内的网络安全研究人员的工资每月只有三四千元。实际上，很长一段时间，他们的待遇甚至比IT行业的平均水平还要低。
从复旦大学数学系毕业后，吴石就利用业余时间查找漏洞。2007年8月，吴石收到了ZDI发来的一封邮件，向他询问关于一个微软的漏洞细节。ZDI是安全服务商惠普旗下的一个安全平台。
吴石回复了ZDI的请求，ZDI回信称，以后可以将发现的漏洞卖给ZDI专门做收购、分析的项目小组。当年底，ZDI给吴石颁发了2万美元的“白金奖”。
刚开始每个漏洞只有两三千美元，但也不是所有的漏洞都能卖得出去，如果ZDI当年的奖金经费已经用得差不多了，他们就不会再继续收购吴石的漏洞，吴基本上每年卖给他们10个左右。
卖不出去的漏洞，吴石就干脆直接发送给出现漏洞的厂商。Google一开始会给500美元的奖励，后来为了鼓励人们发现漏洞以后直接跳过安全公司提交给他们，把奖金提高到3000美元。苹果一开始压根儿不给钱，后来，每个漏洞也提高到了两三千美元。
在吴石看来，漏洞出售给企业，比卖给安全公司更合法。不过，他也发现，虽然国内的企业也希望能够修补漏洞，但不像国外企业那么积极。
王琦后来打算在国内成立独立的安全技术团队，拉吴石入伙。吴石提不起兴趣，周围的朋友不是过得惨淡，就是做着黑产（黑色产业链）。但王琦劝他：“我们虽然看不到蛋糕，但你会揉面，他会生火，我们可以先做个馒头出来养活自己，这样至少大家都不会走（去做黑产）。”于是，Keen Team（碁震安全研究团队）就这样成立了。
Keen Team成立了两三年，生意不温不火。每年，他们卖漏洞给安全平台或者厂商的收入只有一千多万元，不及从事黑产的那些人的十分之一。
直到2010年6月，当时苹果公司针对iPhone操作系统发布了64个新补丁，其中15个漏洞都是吴石发现的，而苹果内部研究人员只发现了6个。美国《福布斯》把吴称为“漏洞猎手”。Keen Team也因此走进了公众的视线，并最终接受了腾讯的投资。
分水岭
虽然奇虎360、腾讯和阿里巴巴在2010年就开始争抢安全人才，但彼时安全人员的平均薪水只是与IT行业其他工种持平。
分水岭出现在2013年，“斯诺登事件”爆发，此后的2014年2月，中央网络安全和信息化领导小组成立，网络安全获得前所未有的关注。
2014年，被黑客界尊称为“TK教主”的于旸（网名tombkeeper）离开绿盟科技加盟腾讯，年薪千万，被称为中国黑客界的标志性事件。
2001年9月18日，Nimda蠕虫被发现，于旸在自己电脑上架设了一个“蜜罐”，在Nimda蠕虫爆发当天就捕获了它，并写了一份分析报告。那是国内第一份对蠕虫这种新型安全威胁做出多角度分析的报告。此后，于旸开始研究软件、硬件以及无线等各种安全风险，曾发现并报告了Cisco、Microsoft等公司产品的多个安全漏洞。
2015年初，吴石团队也正式加盟腾讯，成立了专注于云计算与移动终端安全研究的科恩实验室，其核心成员多来自原Keen Team团队。
“薪水，忽然一下子就高了。”奇虎360核心安全负责人郑文彬说。2006年底，郑文彬接受360邀请来北京时，只有19岁，网络安全市场刚刚起步。
乍见郑文彬，你可能会误以为他是搞艺术的，但在黑客界，他有一个响亮的代号：MJ0011。他领导的伏尔甘团队（360Vulcan Team），连续两年在Pwn2Own攻破了IE和Chrome浏览器。
凉鞋、T恤、短裤、黑框眼镜、略微卷曲的头发和胖乎乎的身材，很难想象他就是中国最有名的网络安全工程师之一。
“叫我们安全工程师也好，叫‘防火墙’也行，称呼无所谓，做什么比叫什么更重要。”郑文彬的家离单位半个多小时，每天10点上班，晚上无确定下班时间。工作就是每天与网络上的病毒、木马、漏洞等进行攻防对抗。核心团队里细分了多个小团队，有人负责安全产品的研发，有人分析和处理病毒、木马，还有人负责高端漏洞修补。郑文彬是把控整个方向的那个。
2015年，伏尔甘团队拿到Pwn2Own的冠军时，公司的几位老板以下命令的方式，要求郑文彬把决赛中所使用的那部电脑“贡献”出来，摆放在360公司的历史荣誉展览室里。
郑文彬非常认真地跟团队成员商量过这件事，但没什么人回应。“他们都内向，太低调了。” 郑文彬说，每次组织团队成员出去演讲，也是一样没人回应，甚至团建去KTV唱歌也没人参与。
360楼下不远处，是乌云平台开的一个黑客酒吧，门口竖着一个牌子，上面写着：内有黑客，后果自负。但郑文彬只去过一次，还是乌云平台的人邀请过去的。
“我已经是我们这里最外向的了。”郑文彬自我调侃道。
但即便如此，还是有很多同事直接、间接地认识了他们。其他部门的同事们见面就会问：“听说你们年薪几百万，还拿着大把股票？”对此，郑文彬只能笑笑。
像郑文彬这样的人， 360还有几十个。除了会向安全产品部门输出一些核心技术，更多的是纯粹的研究，而多数研究成果还都很难立即商业化。
“所以，（养黑客）这个事只有在大公司里才有，而且会越来越贵。”郑文彬说，从2014年开始，漏洞安全人才年薪动辄几百万元，甚至上千万元。
奇虎360核心安全负责人郑文彬在黑客界有一个响亮的代号：MJ0011。
红与黑
公司和骇客打了一架，后者不断发来信息堵塞系统，并试图盗取用户信息，战争一直持续了一个星期，最后公司赢了。但是李苗却不愿多说，因为“只会招来更多的攻击”。
李苗所在的是一家互联网金融公司。黑客的目的很简单，想要盗取公司的用户信息。
“这样的故事太多了。”安塞副总裁杜东亮向《财经天下》周刊说道：“你给我任何一个电话号码，我们就可以查到他五大银行的所有存款信息。”
不过，你并不用担心安塞盗取信息或者资产，因为安塞是中国一些金融机构的安全合作方，他们的行为也需要接受相关部门的监督。
“他们（骇客）有些像强盗，有些像小偷。小偷可能会偷走你的钱，但强盗可能就是平白无故地打你一顿。” 杜东亮说。2013年12月5日，中国央行发布《关于防范比特币风险的通知》，表明不支持比特币后，随即遭受到大量来自国外的黑客攻击，安塞作为央行的合作方，与这些入侵者较量了很长一段时间。
在这些入侵者的背后，是一条完整的黑色产业链，被简称为黑产。
陈树华所在的安全部，被称为阿里“神盾局”，这也是阿里最低调、最神秘的部门。“我们每天都要和黑产打交道，由于强大的利益驱动，黑产的反应速度非常快，对新技术手段的敏锐度非常高。”陈树华说：“因此，在与黑产的斗争中，传统安全更多的处于防守位置，但借助大数据和纵深防御体系，阿里就有能力做前置化的预防工作了。” 陈树华是阿里聚安全、钱盾产品创始人，也是国内最早的一批移动安全专家之一。加入阿里之前，在腾讯负责安全工作。
传统的安全厂商主要是解决内网问题，但现在的安全问题，已经没有边界了。每一个互联网项目里都涉及到大量的资金和信息。“今天，你找出任何一个漏洞，带来的价值都将超过我们想象。”陈树华说。
2015阿里安全年报显示，在移动端，iOS系统的漏洞，2015年比2014年增长1.28倍。安卓系统更恐怖，当前应用市场中97%的应用都有漏洞，平均每一个应用上的漏洞达到87个，其中不少都是高危漏洞。
陈树华一直做移动互联网安全。他说，在这之前，手机感染病毒的几率非常的低，但随着整个互联网业务的高速发展，18%的手机感染过病毒，95%的移动热门应用是仿冒。
据不完全统计，目前中国网络黑色产业链的“从业者”已经超过了40万人，依托其进行网络诈骗产业的从业人数至少有160万人，“年产值”超过1100亿元。
2015年年初，腾讯曾针对网络黑色产业链进行了一次全面调研，并发布了首份《网络黑色产业链年度报告》。报告显示，在移动支付安全领域，目前已逐渐形成一条分工明确、作案手法专业的黑色产业链。从业者主要是分布在二三线城市、年龄介于15至25岁之间的无业年轻人。腾讯移动安全实验室数据显示，2015年上半年，手机支付木马病毒新增29762个，感染用户总数达到1145.5万，最高峰出现在6月，平均每天有6.8万名用户中毒。
黑色产业链的发展，也给各个公司的安全团队招人带来了困难。
“我的团队完全是社会招聘，现在发现一个好苗子实在太难了。”郑文彬说。很多黑客都被黑色产业卷走，剩下的这些人，有着一个比较统一的性格标签：道德洁癖。因此，吴石、郑文彬们愿意出现在各种黑客大赛上，甚至公开演讲，希望能够引导年轻人，走正确的路。
米特尼克是历史上第一个因网络犯罪而入狱的黑客，也是第一个被FBI通缉的电脑黑客。他在15岁的时候就入侵了北美空中防务指挥系统，翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，后来又先后入侵了太平洋电脑公司、联邦调查局等系统。2002 年出狱后，他出版了畅销书《欺骗的艺术》，成了全球广受欢迎的计算机安全专家之一。
在接受媒体采访时，米特尼克曾说道，骇客是条错误的道路，如果能回到过去，他绝不会重蹈覆辙。
孤狼的尴尬
并不是所有的黑客都进了大公司。而那些单独作战的孤狼，有时也会面临尴尬的境地。
在一次安全大会上，一位父亲闯了进来，拿着一沓打印的资料，希望在参会的这些人里，有人能够帮到他的儿子——不久前，他的儿子破解了某婚恋网站的漏洞，并把这个漏洞发布到了乌云平台上，但是，他的儿子还是被这家婚恋网站起诉，并被批捕了。
《财经天下》周刊记者向该网站核实是否起诉了一名黑客，但没有得到答复。
更有名的案例是京东案。2011年12月30日，贾伟在陕西咸阳一家制药厂被警方带走，他的老父亲颤颤巍巍地在拘留证上签了字，然后整整一个月没睡着过。
2011年底，中国互联网爆发了一次大规模用户信息泄漏事件。当时天涯社区、技术开发网站CSDN、游戏门户多玩网、婚恋网站珍爱网等多家网站用户资料被泄露，被业内人士称之为“脱裤门”。京东商城也没有幸免。
京东漏洞的发现者正是贾伟。贾伟有一个常用ID：我心飞翔。在京东商城内部技术人员迟迟无法修复漏洞的情况下，贾伟表示只要聘请自己为高级技术顾问，并支付约240万元劳务费，就将为京东商城修复该漏洞。结果，京东商城以网络被入侵并被“敲诈勒索”为由，向北京朝阳区公安局报警。一个多月后，贾伟被保释。
“这就像我家有个后门，开着，但我没有允许你进来看啊。你不但进来了，还把我家房间的摆设都看了一遍。我当然不高兴了。”孙义在一家大型国产手机厂商做安全运维——负责与黑客接触，发现漏洞并作出响应。
孙义在那次安全大会上也看到了为黑客儿子求助的父亲，但却没有表现出同情。“就是乌云，也只是一个平台。你把信息发在上面，但是出了事，他们一样不管。”
每个月，孙义都能收几十起安全漏洞的报告。“我们会给他（发现漏洞的黑客）一些精神奖励，给他证书，甚至帮他申请国际漏洞编号。这些他都可以写在他的简历里，找工作好使啊。”至于金钱上的报酬，没有。
“我们鼓励‘白帽子’一起建设安全生态，会给漏洞发现者提供精神和物质上的双重奖励。”阿里巴巴安全总监陈树华说。
而京东也在贾伟事件之后，设立了应急响应中心。京东商城信息安全部经理李学庆说，作为一个安全应急响应中心，和腾讯的 TSRC、百度的 BSRC、阿里巴巴的 ASRC 一样，京东的 JSRC 有一个主要任务——堵住一切有可能产生破坏的漏洞。
不过，与国外的厂商相比，国内厂商给予的奖励仍然缺少竞争力。根据京东的数据，提交任何可以攻击京东的漏洞，大概能够获得1000元的京东购物卡奖励。在6.18 之前，京东搞了一个双倍积分的活动，“白帽子”提交高危漏洞，最高可以得到折合价值12000元的奖励。
进入【新浪财经股吧】讨论
责任编辑：王嘉源
