像黑客一样思考

网络安全里经常说的一句话是未知攻焉知防，实际上基本所有的安全人员同时也是一名黑客。在黑客攻击愈发普遍的今天，如何更好的防御黑客攻击？用句带有点哲学的话，只有成为黑客，像黑客一样思考，你才能知道从哪去防御黑客；很俗的一句话，但很实在！

看到了什么？

看到上图，第一直觉，问问自己看到了什么？

正常的思维：第一直观感受是黑点，中间那个很明显，很大的黑点，最吸引大家的注意力；稍微看过一些哲学故事的同学可能会想到黑点周围白色的区域，是的，黑点只是其中一个小点，而黑点周围白色的部分则足够大；但是，我不知道有没有人的答案是白色以外？图片以外？文章以外？或者整个浏览器、整个电脑外呢？

其实这里想表达的也正是黑客思维：永远不要局限于可以看到的部分，而在于能够想到或者没想到的所有面。

其实这类同于攻击面！安全是木桶短板原理，木桶能装多少水不在于最长的那块板，而是最短的那块；而一个系统的安全程度不取决于安全做的多全，做的多高大上，而在于是否已经把那些最简单的问题处理掉？数据告诉我们，服务器入侵，除了漏洞之外最大途径是弱口令，而这就是一个根本没多少技术含量的方式，属于安全基线问题，就是同样的道理。对于黑客而言，攻击面不会局限于能够看到的点，而在于所有可能关联或者没关联的面，就比如渗透测试或者说APT，很多时候结合社工这个点能够取得很好的效果，成为一个绝佳的入侵渠道。所以，第一点，学会放开自己的思维与想象，发现和关注平时所容易忽略和没有看到的地方。

什么是黑客？

什么是黑客？我用八个字总结，突破创造，守正出奇。在我看来，黑客永远不是一个贬义词，黑客本身就是极客，对于黑客来说，这个世界充满好奇，这个世界有太多的东西可以探索，特别是网络世界。

黑客是一个追求自由的群体，不喜欢受到条条框框的约束，总是喜欢突破这一切，突破同时也可能是一种创造，创造新的方法，新的方式，新的工具，新的东西，就比如上图，小学课本里的乌鸦喝水，在我们看来是一种很傻的行为，但未尝不是一种稳定传统的方式。在生活中很多的事不也正如此？网络上很多安全的措施有时候也是稳定起见，因为新的东西除了先进，也会带来风险。而对于黑客来说，考虑的可能不是这些，而是尝试，好奇一切。

黑客，也有自己的黑客精神，有自己要坚持和秉承的东西（地下黑客的原则可能不同于正常黑客），这就是“守正，自由、共享、平等、互助”；在Web安全的世界里，我们经常会提到一个词"猥琐"，或者说不仅限于Web安全，因为很多时候攻击的产生不是利用一个多厉害的漏洞，而在于猥琐的思路，几个定义为低危的小漏洞的组合也许威力比一个高危漏洞还大，这就取决于漏洞的组合使用；利用这种思路的"猥琐行为"就是一种出奇的表现。

了解黑客，成为黑客，才能更好的学会黑客的思考。

看到框就想X

这是一个意见反馈的界面，看到这样一个界面，大家会怎么做？对于普通人来说，这就是一个正常的意见提交框，用处就是提交反馈内容；大家想想黑客会怎么做？对，提交攻击代码，比如下面的代码：

</textarea>'">

讲这个例子的目的其实就是这部分的标题：功能也是攻击方式。在黑客的眼里，攻击并不是一定得使用漏洞，使用多高端的技巧，能达到攻击目的和效果的方式都是好的攻击方式。这些方式不局限于大家所了解的漏洞或者暴力破解等，而经常做的就是利用正常的功能来实现攻击，这种攻击因为使用的是正常的功能，有时候反而更隐蔽；而类似的攻击方式，不在少数。

结语

其实，近几年来，大家对黑客的了解已经越来越多，黑客的神秘性也渐渐消失，然后大家就会发现，他们其实也是生活中的普通人。而在黑夜中工作，有时更多的是因为那时候安静，做事效率高，或者是管理员不在线好做一些秘密的攻击和测试等，而不是所谓各种描述里的戴着衣帽，把自己包裹在黑暗中，不露出自己的真面目等。

其实黑客所不同于普通人的点，除了掌握的知识外，就是做事和思考的方式，仅此而已！

本文转载自：云鼎实验室（微信号：YunDingLab）