记一脚本小子历时七年达成第一个小目标 | 卿眼所见

上周在魔都着实体验了一把“演员”的辛苦，之前受聘安在荣誉顾问的时候就答应张耀疆老师，会客串一个角色在他“蓄谋已久”的安在第一部黑客题材微电影里面，拍完才发现一部作品（先甭管好坏）的诞生挺不容易的。（安在电影预告片）

拍摄结束的那天晚上和朋友在苍蝇馆子里撸串喝啤酒，这位弟兄很直白的问我在数字公司的税后薪水，我也同样很直白的大概给他说了下，预料之中收到了他的“鄙视”，他说他以为我会拿什么数云云，我笑着回答他，这个得看你追求啥，有些时候不能光看钱。

所以我想我一定是一个有情怀的人，情怀这种东西可以从精神上极大的弥补物质上的不足。因为每当你觉得这么辛苦但混得并不满意的时候，在想到自己处在一个优秀的成长平台，通过这个平台积累了大量的知识与经验，和团队一起创造的大批辉煌战果时，钱多少又算得了什么呢。而且，当你经历了一切，并拥有一定资质后，在各行各业，我认为只要我想，只为赚钱根本不是问题。

正好因为有一阵没管微博，忽略了好多未关注的人给我发来的私信，里面也不乏一些学生朋友及安全爱好者在问我关于安全这个行业的大前景，和未来哪个方向更有前或钱途，应该如何入门，怎么学习，学哪个领域等问题，又想到前几个月在四叶草的安全峰会（主题是传承）上我第讲的“心灵鸡汤”，再加上我自己在360干了七年有余，感觉也算有一点点资格可以聊这个话题，所以借“卿眼所见”，真真切切的给大家讲讲我的一些心得与看法，希望给各位一些启发。

之前接受了许多媒体的采访，也说了不少，文章传递出了许多信息，有夸大的，也有没说透的（雷锋网史中老师的笔锋过于凶残，笑…），自己的事情终归自己才最有发言权，所以我先从加入360的经历说起。

很庆幸的我在毕业之后只通过两次努力（好像已经很笨了….），就进入了360公司，那时还叫奇虎网Qihoo，每次周末从学校坐车回家，路过四惠东，总能从车窗看到奇虎的牌子，觉得很有缘，每一次看到我都会想但愿以后我能进入这家公司。为什么偏爱这家公司？因为那个叫做360安全卫士的产品就出自这家公司，所以那时觉得这是一家具有“安全基因”的公司，未来能在这里工作应该会是我最好的选择。

那第一次努力呢，就是大学毕业那会，当然之前我在求学生涯时靠着兴趣和热爱，已经成为了一个名副其实的脚本小子（捂脸…），并立志要成为一名真正的黑客（安全研究员吧，毕竟国情原因说黑客在咱们这还是带有贬义色彩），自己在51job，智联招聘给奇虎投简历，投了一个叫“安全监测”的岗位，傻傻的我去面试才知道那是一个类似于“鉴黄师”的岗位，没有时政敏感度的我在笔试环节不幸被撸。

第二次努力呢，在2009年，是通过在奇虎的朋友内推，那期间我已混成了土司论坛的核心成员（感谢小米、感谢土司众核心），有了一些人脉资源，而且这次比较对口，是奇虎的信息安全部门招人，加上之前我有通过WiFi成功黑进了地铁内部网络，输出了一份很有价值的安全报告给相关安全部门的出色经历，算是有些谈资，所以初面很顺利，二、三面也都通过了，至此我成功变身，信息安全工程师是也。

（2009年终总结）

2009年11月刚进入360公司，紧接着就写年终总结了，现在看着特启蒙（笑哭～～～），同年谭晓生空降接管我们部门（部门人数5人…），再到之后我拉林伟同学入伙，不过那都是后话了，笑

如总结所述，于次年2010年我成功Gank了北京公交一卡通，不过那时候社会、企业、有关部门对于安全人员发现漏洞（那个时候还没白帽子这个说法..）不是很理解的，所以虽然那时候第一时间就通过公司渠道报告给了有关部门，但是前前后后还是有不少麻烦事情，也让谭总头疼了一阵子…（无奈～～）

（2009年做的360内部无线安全PPT）

但自那之后，我那颗投身无线通信安全的心依旧坚毅，我和我的唯一同伴柴坤哲同学仍初心不改的在一个不被看好的信息安全领域坚持着，这种情况随着我顽固的用了两年时间终于说服我的好友简云定加入360及柴坤哲在一次安全交流会拉黄琳的入伙才凑齐现在独角兽安全团队（UnicornTeam）的基石。随着时间推移，你终将不再孤独探索，只要你的格局还OK，你的团队仍会继续壮大，志同道合的朋友与各路豪杰也都会前来投奔。

一定有不少朋友好奇因何而UnicornTeam的诞生对吧，其实很简单，因为我觉得我所在部门的建制名字有点low（XX部XX组），不论是对内或对外，大家都会更亲睐XX实验室，XX研究院这样有逼格的部门，不是开玩笑，你的职级部门名直接影响报销时候财务MM会不会和你多聊几句（笑哭），因为名字是给人的第一印象，这是人性不是么，我们给孩子起名还要翻遍字典呢不是。按华与华创始人华杉、华楠的观点，这叫做“超级符号就是超级创意”

（邮件岁月）

所以为了弟兄们对外吹牛逼的“面子”考虑，当时我找谭总要了个虚拟名称，就是今天的UnicornTeam了，当时还考虑叫MarvelTeam，后来这个名字推荐给我们云安全研究团队的朋友了，所以现在公司已经有十几个各种Team了（偷笑…与我无关啊…）

当时叫独角兽是受早年我开的安全资讯网站Logo的独角兽受启发，现在有点不忍直视，那个时候真觉得很好看…我还送了好多贴纸给谭总（害羞…）

当年国内做无线通信安全的人少之又少，也没有体系，我就琢磨着要在这个领域玩出名堂，让更多的人都加入进来，大家一起在这个方向创造出一个从未有过的景象。而且恰恰无线通信的漏洞也是属于发现报告后需要长达几年的时间才能完全修复的那种，因为这里面牵扯了太多硬件模块、协议组织、软件固件的协同更新及新旧交替过程。不像我们常见的网络、系统漏洞，你今天发现了报给官方，可能人家第二天就Push了个热补丁就把洞补了，所以因无线通信的漏洞的修复周期几倍于传统系统、应用层漏洞，才更应该投入更多的精力去做，才能越早的约束漏洞出现时所危及的范围。

拿GPS欺骗攻击举例，去年我们在世界级黑客大会DEFCON的演讲，当时没有公布攻击代码，为什么，因为考虑到我们的世界使用的这些设备（手机、网络设备GPS授时、智能硬件、汽车、无人机、船舶等）现在还不具备防护这种攻击的能力，代码公布被恶意利用不是我们安全研究人员希望看到的结果。

福布斯、CCTV的报道也好，我们谋求的是在一个全球关注的安全会议上，向全世界的与这项技术有关的所有人或事发出预警，告诉他们GPS的协议需要更新了，硬件模块、软件程序都需要进行改变，以应对未来越来越多的GPS欺骗攻击，我们可以实现，别人也可以实现，但如果我们不选择这样一个舞台去讲述这个风险，或许全球对于GPS协议的更新还会晚上几年吧。

作为黑客也好，安全研究员也罢，我们所具备的思维方式，技术能力理应是去用来打破旧的传统、体系，创造新的从未有过的事物或者规则。所以不论你是挖洞还是破解了什么，最终都是撕裂了现有的不安全，提醒大众，并试图推动优化并创造更安全的事物。

今年我了解到一些生产GPS模块的厂商已经开始对GPS欺骗攻击进行了相应的防护方案，当我知道的时候，我感觉很High，也让我想到了之前乔帮主访谈里的一些话。

所以乔帮主人家当时也是黑客呦，感同身受是从无线通信安全这个点上，我们成功的在黑客大会通过自己的研究成果影响了全世界。

我们所投入的事业就像扁鹊三兄弟故事里扁鹊大哥所做的，

“大哥治病，是在病情发作之前，那时候病人自己还不觉得有病，但大哥就下药铲除了病根，使他的医术难以被人认可，所以没有名气”

能让未来我的子女在使用这些无线电科技的时候，不会被漏洞所威胁，给他们营造一个更安全的世界才是我们的心之所向。

就像UnicornTeam的Slogan所言，Hack The World, Make It Secure。

我们把DEFCON上Wireless Village的传统项目无线SheepWall“绵羊墙”以国人可以接受的时候搬上了2015年315晚会，让大家知道公共WiFi所存在的风险，并研发360天巡这种WIPS产品推动城市WiFi安全建设。

我们将新一代银行卡所使用的NFC技术中的相关隐私泄漏风险以“网络透明人”，GPS欺骗攻击以“黑客时光机”将攻击效果借助ISC互联网安全大会及法制晚报、BTV北京客、焦点访谈等媒体，试图让更多的人了解其隐患并推动整个社会对其进行修复。

促使现在部分银行在发行芯片卡的时候，已经不会再将公民身份证号、姓名等信息写入银行卡。各类GPS模块制造商也开始在固件内增加相关防御信号欺骗攻击的方法。

我们尝试最早在国内技术会议SyScan360 2013引入了DEFCON传统的可供解密破解的电路板胸卡，推动这个趣味项目在越来越多的技术会议出现。

我们以3个无线通信研究成果同时入选DEFCON23，我们著写了国内第一本带有各类无线电安全攻防实例的图书“无线电安全攻防大揭密”，吸引了大量爱好SDR朋友一起和我们玩耍。

我们是第一个在DEFCON Vendor的中国团队。并获得了限定版“中国人”T恤。

当然这些事情靠一个人是不行的，要相信团队的力量。

今年黑客大会DEFCON24上关于4G LTE劫持的议题演讲结束，国际GSMA、3GPP组织的朋友都来到讲台与我们交流并希望保持合作及最早的漏洞通报，只不过这次已经不需要我和黄琳出马，团队已经有了新的传承。

只有团队协力才能走的更远，单枪匹马注定是个人英雄主义，最后说一说如何带安全团队。

对于自己：坚持梦想。

我总是建议很多刚毕业的朋友，过滤掉现在那些浮躁的价值观，好像年轻有为的标签已经成为了这个时代的标配，有些朋友为了薪水翻翻一年可以跳三次，有些则恨不得刚毕业就是个创始人或是个创业公司的CEO，Title好封，薪水好骗，但唯有知识、经验、为人处事这些是需要时间去打磨的。

所以如果让我规划我的人生，30岁之前都可以是原始资本积累期（优秀的朋友不要嗤之以鼻，毕竟本人是个大~专~生，属于笨鸟那类），这段时间我只需要一直提升提升再提升自己，钱神马的统统不要考虑，这样当你真正考虑赚钱的时候，那早已不是问题了，就好像为了赚钱而赚钱最后反而赚不到钱，追求自己心之所向在不经意却反而意外的赚到钱，无心插柳柳成荫嘛，这也是当一个人的心智体提升到一定水平之后的必然结果。

不要去追逐热点，不要频繁的转变你的方向，我始终相信事在人为。如果你真有梦想，就去实现它。想想像我这样的大专生都可以把无线电安全玩的花样百出，还有什么事情可以难倒你们呢？

（团队成员李均及卡防与凯文 米特尼克的合影）

不论是一万小时定律，还是不忘初心，只要你持续付出投入在一个点，几年未变，最后总会有所回报，团队骨干冥冥之中的相遇，及像单好奇、李均、张婉桥、曾颖涛这些新鲜血液加入，大器晚成，我至今深信这一点。

对于团队：成为榜样、正确引导。

惠普公司有一名员工在学习公司历史时，问创始人之一David Packard一个问题，他的领导力理论是什么。这位员工后来说，帕卡德停顿了很长时间，说了一句简单的话：“我不知道什么是领导力理论。那时，我和比尔（Bill Hewlett，HP另一位创始人）只是在做我们爱做的事，我们很高兴有人想加入我们。

每当想起这个故事，我也会同时想起几年前两个乳臭未干的年轻人在麦当劳里激情四溢的讨论如何研发一个RFID防御设备，谁会想到几年后他们真的把这个东西做出来了，并且还获得了国际专利，这也是我和孤独小白（简云定）的故事。

所以领导力的核心策略其实很简单，就是你自己要成为榜样。

相信大家都读过那篇“你是一个好人，但不是一个好Leader”的鸡汤吧。你不需要当个知心老板关注你团队成员的家长里短。也不需要做那种靠开会训斥属下来保证工作进度的老板。

保证你的团队精英化，相信每个人都是具有一定的自我驱动力与成就动机。相信他们的潜力，而Leader则要化作标杆，用德行去的影响、激励团队，使整个团队具有一种持续向上的动力。天下没有不散的宴席，也没有永久的团队，保证团队伙伴们与你一同工作的这段期间，并没有浪费生命，他们做的每一项工作都有意义，团队每个人在这个过程中都飞速成长，并且大家一起做出了许多可以影响后世的成果。对我而言，这就是我所追求的情怀，这些都是钱所给不了我的。

此文纪念敝人摸爬滚打七年，从一个毛头小子到两个人的安全小组，再到一个团队最后到一个部门。促成了国内首个关于无线通信安全研究的部门“360无线电安全研究部”（其实我想叫电磁空间安全研究部的，被谭总否了…哭）

这就是那个脚本小子的一个小目标。

与团队一同成长，成就别人也就是成就自己。

广告时间：欢迎大家提前留意我们即将上市的新书《硬件安全攻防大揭秘》

诚如杨卿所言，安在的第一部黑客题材微电影即将上映啦，赶快扫描下方二维码添加小编微信号，进入观影首映群吧。