采访白帽黑客团队的问题_白帽子黑客要掌握哪些技术
文字简介：
导致阿里云被暂停合作的漏洞 究竟是什么？
新京报贝壳 财经 讯（记者 罗亦丹）因发现安全漏洞后的处理问题，近日阿里云引发了一波舆论。
据媒体报道，11月24日，阿里云安全团队向美国开源社区Apache（阿帕奇）报告了其所开发的组件存在安全漏洞。12月22日，因发现Apache Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，阿里云被暂停作为工信部 *** 安全威胁信息共享平台合作单位6个月。
12月23日，阿里云在官方微信公号表示，其一名研发工程师发现Log4j2 组件的一个安全bug，遂按业界惯例以邮件方式向软件开发方Apache开源社区报告这一问题请求帮助，“随后，该漏洞被外界证实为一个全球性的重大漏洞。阿里云因在早期未意识到该漏洞的严重性，未及时共享漏洞信息。”
“之前发现这样的漏洞都是直接通知软件开发方，这确实属于行业惯例，但是《 *** 产品安全漏洞管理规定》出台后，要求漏洞要同时通报给国家主管部门。由于上述法案颁布的时间不是很长，我觉得漏洞的发现者，最开始也未必能评估到漏洞影响的范围这么大。所以严格来说，这个处理不算冤，但处罚其实也没有那么严格，一不罚钱，二不影响做业务。””某安全公司技术总监郑陆（化名）告诉贝壳 财经 记者。
漏洞影响有多大？
那么，如何理解Log4j2漏洞的严重程度呢？
安全公司奇安信将Apache Log4j2漏洞的CERT风险等级定为“高危”，奇安信描述称，Apache Log4j 是 Apache 的一个开源项目，通过定义每一条日志信息的级别，能够更加细致地控制日志生成过程，“Log4j2中存在JNDI注入漏洞，当程序将用户输入的数据进行日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。”
安域云防护的监测数据显示，截至12月10日中午12点，已发现近1万次利用该漏洞的攻击行为。据了解，该漏洞影响范围大，利用方式简单，攻击者仅需向目标输入一段代码，不需要用户执行任何多余操作即可触发该漏洞，使攻击者可以远程控制受害者服务器，90%以上基于java开发的应用平台都会受到影响。
“Apache Log4j RCE 漏洞之所以能够引起安全圈的极大关注，不仅在于其易于利用，更在于它巨大的潜在危害性。当前几乎所有的技术巨头都在使用该开源组件，它所带来的危害就像多米诺骨牌一样，影响深远。”奇安信安全专家对贝壳 财经 记者表示。
“这个漏洞严重性在于两点，一是log4j作为java日志的基础组件使用相当广泛，Apache和90%以上的java应用受到影响。二是这个漏洞的利用入口非常多，几乎达到了（只要）是这个漏洞影响的范围，只要有输入的地方就受到影响。用户或者攻击者直接可以输入的地方比如登录用户名、查询信息、设备名称等等，以及一些其他来源的被攻击者污染的数据来源比如网上一些页面等等。”从事多年漏洞挖掘的安全行业老兵，网友“yuange1975”在微博发文称。
“简而言之，该漏洞算是这几年来更大的漏洞了。”郑陆表示。
在“yuange1975”看来，该漏洞出来后，因为影响太广泛，IT圈都在加班加点修补漏洞。不过，一些圈子里发文章为了说明这个漏洞的严重性，又有点用了过高评价这个漏洞的词语，“我不否认这个漏洞很严重，肯定是排名很靠前的漏洞，但是要说是有史以来更大的 *** 漏洞，就是说目前所有已经发现公布的漏洞里排之一，这显然有点夸大了。”
“log4j漏洞发现者恐怕发现漏洞时对这个漏洞认识不足，这个应用的范围以及漏洞触发路径，我相信一直到阿里云上报完漏洞，恐怕漏洞发现者都没完全明白这个漏洞的真正严重性，有可能当成了Apache下一个普通插件的一个漏洞。”yuange1975表示。
9月1日起施行新规 专家：对于维护国家 *** 安全具有重大意义
据了解，业界的开源条例遵循的是《负责任的安全漏洞披露流程》，这份文件将漏洞披露分为5个阶段，依次是发现、通告、确认、修复和发布。发现漏洞并上报给原厂商，是业内常见的程序漏洞披露的做法。
贝壳 财经 记者观察到，白帽黑客建立漏洞发现与收集的平台并告知企业的做法一度在圈内流行。根据《 财经 天下》的报道，把漏洞报给原厂商而不是平台方，也会有潜在的好处。包括微软、苹果和谷歌在内的厂商对报告漏洞的人往往会有奖励，“更高的能给到十几万美元”。更重要的是名誉奖励。几乎每一家厂商对之一个报告漏洞的人或者集体，都会公开致谢。“对于安全研究人员而言，这种名声也会让他们非常在意。
不过，今年9月1日后，这一行业“常见程序”就要发生变化。
7月13日，工信部、国家网信办、公安部印发《 *** 产品安全漏洞管理规定》，要求任何组织或者个人设立的 *** 产品安全漏洞收集平台，应当在两日内向工业和信息化部 *** 安全威胁和漏洞信息共享平台报送相关漏洞信息。该规定自2021年9月1日起施行。
值得注意的是，《规定》中也有漏洞发现者需要向产品相关提供者通报的条款。如《规定》第七条之一款显示，发现或者获知所提供 *** 产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。第七条第七款则表示，不得将未公开的 *** 产品安全漏洞信息向 *** 产品提供者之外的境外组织或者个人提供。
奇安信集团副总裁、补天漏洞响应平台主任张卓在接受新京报贝壳 财经 记者采访时表示，《 *** 产品安全漏洞管理规定》释放了一个重要信号：我国将首次以产品视角来管理漏洞，通过对 *** 产品漏洞的收集、研判、追踪、溯源，立足于供应链全链条，对 *** 产品进行全周期的漏洞风险跟踪，实现对我国各行各业 *** 安全的有效防护。在供应链安全威胁日益严重的全球形势下，《规定》对于维护国家 *** 安全，保护 *** 产品和重要 *** 系统的安全稳定运行，具有重大意义。
张卓表示，《规定》第十条指出，任何组织或者个人设立的 *** 产品安全漏洞收集平台，应当向工业和信息化部备案。同时在第六条中指出，鼓励相关组织和个人向 *** 产品提供者通报其产品存在的安全漏洞，还“鼓励 *** 产品提供者建立所提供 *** 产品安全漏洞奖励机制，对发现并通报所提供 *** 产品安全漏洞的组织或者个人给予奖励。”这两条规定规范了漏洞收集平台和白帽子的行为，有利于让白帽子在合法合规的条件下发挥更大的 社会 价值。
拼多多天才黑客疑被开除，这位黑客大佬究竟什么来头？
这位天才黑客大佬叫 Flanker是一个在仅仅15岁的时候就考上了浙江大学，后来毕业于香港科技大学。在很年轻的时候就担任了 *** 总监，22岁的时候就荣获了在世界范围内举办的黑客大赛的双料冠军奖的天才少年。他的智商也非常高，在国内白帽（即有正当工作，不违法）黑客的团队里，是一个非常优秀的存在，令很多人敬仰。
在他自己确定了以后的发展方向之后，在26岁的时候就进入了拼多多公司为拼多多公司服务，保护拼多多的 *** 安全。可是这位天才黑客却突然被拼多多公司解雇了，他本人也在 *** 上对这件事情进行了回应，他说因为拼多多公司没有如期实现，对他工作的薪金奖励，拖欠了他工作的工资所得。而且也没有实现在当时 *** 他的时候，承诺给予的工资权益。他最后也放下了一句话，希望拼多多公司好自为之。
Flanker可以说是在安全领域有很高人气的黑客大拿，拼多多公司却把他开除。而他本人表示自己被拼多多开除的原因，是因为他不愿意协助拼多多公司向其他公司进行黑客攻击。 其实如果他答应做黑客攻击的话，他本人就会违法，如果他拒绝黑客公司，他本人就会被公司开除，因为他本人已经快在拼多多公司任期满5年，只要期满5年的时候就可以拿到拼多多公司价值上亿元的股票。
可是就突然在这个节骨点上拼多多公司提出来黑客攻击这样的要求，如果你不为我们公司做出这样高风险的事情的话，你就会被开除。所以你拒绝之后，我们也不会把承诺的上亿元的公司股票交给你，这很明显是被拼多多公司摆了一道。
为应对黑客东京奥组委培养220名“白帽黑客”，黑客一般会做哪些事？
其实我们从名字就可以看出，黑客肯定是不干一些好的事情的。他们忘了会进入一些比较机密的平台当中盗取一些信息，并且会将这些信息高价售卖出去。甚至有时候也会免费的公布在一些社交媒体之上，从而导致这些机密信息被外界得知。而一般情况下，很多重要的事项都会存在着很多的秘密，他们并不想要被外人所知。所以这一次东京奥组委才培养了220名白帽黑客。对于这件事情，网友们也是议论纷纷。那么接下来跟大家分享一下，黑客一般都会做哪些事情？
之一，黑客的主要工作并不是入侵。
可能很多人一谈到黑客就会想到拿着一台电脑，黑客就可以轻易的入侵任何一个 *** 结构。但其实这样的场景只能出现在电影当中。一般情况下，黑客虽然会单打独斗，但是想要依靠自身的能力去入侵一个系统，特别是安保等级非常高的系统是非常困难的，所以黑客有时候也是需要团队作战的。主要工作并不是去入侵那些系统，他们主要就是在研究一些 *** 上的漏洞，有时候就是简单的一个爱好。
第二，如何看待这一次日本奥组委举办的白帽黑客？
其实他们对于这一次的奥运会的确非常重视，害怕会出现黑客攻击他们服务器的事情。所以才会为了防范这些黑客专门组建一个白帽黑客的团队，就是来进行防范。但是具体的作用能不能够达到预期的效果，还有待进一步的验证才可以。
第三，如何看待日本奥运会的举行？
说实话，日本奥运会的确是多灾多难，已经不断的推迟，而根据给出的消息来看，他们已经决定在明年举办奥运会。不过根据日本现在对于新冠疫情的控制，到时候不一定真的能够如期举行。
