自学成才的黑客是从哪里学到知识的

竟然还挺多人关注的，许多回应都太没营养成分了，拜托了诸位认真完成每个「问与答」就是这么？自己的确是自学成才，不过这个问题我不会准备说我的经历（「文件目录 - 懶人在思索 - 知乎专栏」里的「我的世界观」可以了解我的经历，也可以了解我就是怎样一种人）。针对这个问题我分享下一些干货吧。首先铭记两个原则：1. 视线把自己的视线放进全球上，国外过多出色资料，至少得把握英语，如果会俄文/日语也不错。我为什么特别提俄文/日语呢？因为这两超级大国搞安全的还是很多的……乌克兰搞灰产的残暴程度仅次于国内，日本的研究猥亵程度仅次于国内的「猥亵派系」。2. 分享把出色的经验沉定好并传至国内这个社交圈。关于其实我非常瞧不起一些人的一些嘟囔，例如：「知道创宇为什么不开源系统，不是很牛吗？」我们那么多出色 Papers，那我？我们那么多优秀文章，那我？我们那么多专业技能分享，那我？我们每年举行免费高品质的KCon，那我？我们在各种场地分享我们的感受，那我？我们的确也在 GitHub 开源系统了工作组件（非常少宣传，因为其实我们的确没做好），我们还准备继续打造知道创宇的技术工程师文化，在未来持续开源系统，那我？我们在把团队打造厉害，那我？……分享是一种传统美德，成为知道创宇的安全研究员或研发工程师，无一不是报着这样的文化去办事。其实上面这个方面是我的「渔」，下面分享点「鱼」吧。1. 专业技能表（前些天刚公布v2.4版本号）.com://blog.knownsec.Com/Knownsec_RD_Checklist/v2.2.html语言这上面的学习素材图片过多了，很多同学们都在为此为参照去学习。2. 我定阅的RSS目录.com://evilcos.fire/evilcos_rss_2014.opml我之前在我的一个黑客群里内部发布过，现在对外界全面开放，我在03年开始一直在定阅的目录，每年都有增加的，有些出色的 RSS 源不更新了，但我都保存着，留个留念。目录有几绝大多数「Hacker Teams」「Hackers」「web角度」「构架」，如下截屏：<img data-rawheight="1656" data-rawwidth="577" src="htpp://pic1.zhimg.Com/50/18e9ad55cd6cefab05a9ddee18d79250_Hd.jpg" class="origin_image zh-lightbox-thumb" width="577" data-original="htpp://pic1.zhimg.Com/18e9ad55cd6cefab05a9ddee18d79250_r.jpg"/>曾经的我用 谷歌 Reader，现在用鲜果阅读，凑合能「不亦说乎」……把我那份 RSS 目录配合我倾情打造的专业技能表，再配合Evernote记笔记的习惯，一个几近完美的 GTD ，每天的学习非常有节奏感。填补个：如果你要新手入门 web 安全，我就是尽心竭力了：初学者怎样学习 web 安全？好啦，后边看着你的了！编写于 2014-03-18?赞成 9.6K??148 条评价?分享?个人收藏?谢谢收拢?盐选推荐?知乎问答 官方账号12 人赞成了该回应本回应节选自讲书，有利于解释该问题。小说名字：《反欺骗的艺术》领读人：@shotgun 网络安全领域出色答者很多是以《反欺骗的艺术》初中到的。

　　这这书由「世界头号传奇网络黑客」——凯文·米特尼克所着，最开始出版发行于 2001 年，之后多次再版。这这书以前影响了世界各国许多代网络黑客，教會了他们在网络信息安全领域中，除了技术进攻之外，还存在着「社会工程学」这种心理控制的非技术进攻方式。直到今天，书中的各种实例、方法、观念不仅对 it互联网 从业者，而且对普通读者也同样具有较强的教育和警告实际意义。

　　当前电信诈骗，特别是针对个人与立中小企业的进攻展现髙速增长发展趋势，根据《腾讯安全 2017 本年度网络安全汇报》，全球利用大数据技术执行盗窃、行骗、诈骗的案子数量每年以超出 30% 的速度在增长。仅中国，「网络黑色产业从业者」就已经超出 130 万，「市场容量」高达千亿元人民币级別。2017 年上半年度全球泄漏或失窃的数据达 19 亿条，超出了 2016 年的全年度总产量。勒索软件暴发性增长，「心里难受」勒索软件爆发涉及到到了至少 130 个国家、30 万多名用户，造成的损失高达数十亿美元。

这对我们每个人都是一个不容乐观的挑战，只有把握良好的网络信息安全知识，才能在互联网和现实世界里保护好自己。《反欺骗的艺术》是提升网络信息安全意识的最好读本之一，这也就是我向大家推荐这这书的主要原因。

　　《反欺骗的艺术》与其他网络信息安全书藉不同：书中并没有大段枯燥乏味的技术细节，它更好像二本侦探小说合辑，通过各种趣味的网络信息安全实例，向大家展示了网络攻击或者欺诈者是如何利用社会心理学、信息不对称等社会工程方法，攻克用户的信赖，达到自己的目的。创作者还会在实例结束后得出评价和建议，以帮助用户提升网络信息安全水平。

　　对于网络信息安全行业或者 it互联网 行业的从业者来说，阅读这这书可以帮助你提升安全专业技能，减少工作失职。而对于平常人来说，这这书也可以帮助你提升防范意识，减少隐私保护泄漏，预防各种网络钓鱼行骗方式。

　　这书的创作者「凯文·米特尼克」在网络信息安全有史以来是一个传奇，他是社会工程学的创立者之一，年轻时狂放不羁，15 岁就成功侵入美国国防部的应用系统———北美洲上空防务系统项目部，自此因涉嫌侵入 DEC（美国大数字设备公司）、Novell（诺?邢薰荆un MicroSystem（现?驯患坠俏墓臼展海⑴祷堑却蠊荆踔粱谷肭至?FBI 的应用系统。前后涉案人员额度高达数亿美元，被 FBI 和国际刑警组织抓捕多年，为了防止他造成毁坏，一度的被法院裁定不能接触任何可能上外网的电子产品。之后他痛改前非，以自己的经历和经验为基础，出版发行了《反欺骗的艺术》《反侵入的艺术》和《线上鬼魂》时代三部曲，向大众普及化如何预防社会工程学的进攻，并成立了自己的咨询管理公司，改行成为保护网络信息安全的专家，为政府和公司提供网络信息安全服务咨询，而凯文早前的丰富经验，成为了用户们重要的知识来源，从他的书中我们可以转换到网络攻击和欺诈者的角度，见到不一样的网络信息安全世界。

　　阅读《反欺骗的艺术》这这书要注意三个关键点：

　　网络信息安全过程中最敏感也最重要的环节是人而不是技术。 攻克人的环节最重要的技巧是骗取信任，而我们经常会错误地使用信赖。 网络攻击获得信赖的重要近道是「看起来无关痛痒」的数据泄露。

　　下面我来为大家进行详细的解读。

　　网络信息安全过程中最敏感也最重要的环节是人而不是技术。

　　信息世界是由 it互联网 技术所搭建的，绝大部分网络信息安全问题看上去都好像单纯的技术问题。我们往往会误认为，网络信息安全问题的核心是技术，所有的安全缺点都是由于工艺水平不够而造成的，只要拥有了精湛的防御力技术，就可以有效预防各种威协和进攻。我们购买服务器防火墙、安装杀毒软件、使用入侵防御系统、数据加密数据、升级到高档的生物识别技术设备，自恃已经解决了绝大部分安全威协，此后安步当车，然而各种网络信息安全事件还是不断涌现，协同创新的方式方法经常无效，这是怎么回事？因为网络信息安全过程中最敏感也最重要的环节是人，不解决人的问题，就没法多方面解决网络信息安全风险。

　　这就是凯文在书中尝试向我们展示的道理：提出需求的是人，开发app的是人，控制流程的是人，最后操作设备的也是人，整个信息世界虽然由技术搭建，却紧紧围绕着人而运行。人的本性总有缺点，而且人性的优点无法简单地用方式方法来安全防护，不能安全防护好人性的弱点，就无法有效安全防护网络信息安全。这书实例中的网络攻击并不仅使用方式方法，同时还会机瞄人性的弱点启动社会工程进攻，他们绕开复杂的技术体系，绕开牢靠的安全防御力，仅仅使用社会工程学方式，简单地拨打电話或者发送邮件，就可以让目标用户甘心情愿地把自己的隐私保护、账户、登陆密码、数据、金钱交出来，为他们打开大门口、提供便捷，甚至还心头愉悦。

这样的实例不仅存在于凯文的书中，也存在于我们的日常生活里，当前针对平常人的各种黑客攻击，如网络钓鱼、网络诈骗、勒索软件等，都大量基于社会工程学原理。

　　是我一个客户以前被勒索软件锁住了电脑里所有的秘密文件，我说他杀毒软件为什么没有及时阻拦病毒感染，他满脸可怜地回应：「其实杀毒软件有提示安全隐患，但因为它阻拦我下载应用，所以一不小心关闭了。」这就是一个典型性的利用社会工程学原理辅助进攻的事例，网络攻击对下载网站的界面进行掩藏，通过掩藏建立了虚报的信赖，让用户认为这是一个可靠的网站。利用受害人希望尽早使用某个软件的情绪，结构了虚报的危机感，制造了电脑杀毒软件与用户需求之间的矛盾，诱惑用户自行关掉了电脑杀毒软件，安装病毒感染到自己的电脑里。在这个事例中，网络攻击并没有使用精湛的方式方法去和杀毒软件进行抵抗，杀毒软件的工艺水平高低也并不重要，因为如果网络攻击攻克了人的堡垒，获得了目标用户的信赖，安全方式方法就已经力不从心了。

　　并不是只有用户会遭受社会工程学的进攻，在针对企业和政府的进攻中，也经常能见到社会工程学的背影。网络攻击在尝试侵入政府或者部队这样高防御力水平的网络时，电子邮箱垂钓是最重要的方式之一，电子邮箱钓鱼者通过掩藏电子邮件的「发送者」身份，蒙骗收货人主动执行附注中的木马病毒，进而达到侵入内部网络的目的，可以有效绕开各种协同创新的网络信息安全防御力对策。这一技巧至少有30年的历史了，至今依然屡试不爽，虽然信息安全技术在不断进取，但人性的优点数千年来并没有发生实质的变化，因此社会工程学的方法总是有效期。与上面讲过的关掉电脑杀毒软件，自己安装勒索软件的事例相近，在很多电子邮箱钓鱼攻击的实例中，正是受害人自己关闭了杀毒软件和其他的防御力对策，木马病毒才能足以顺利执行，在这些事例里，目标用户基本上可以称之为是共犯，他们与网络攻击一起共同毁坏了网络信息安全防御力体系。

　　所以，网络信息安全过程中最敏感也最重要的环节是人而不是技术，要想保护好我们的网络信息安全，主要的任务就是保证与之相关的人都具有充足的防范意识、良好的行为准则，这也就是我向大家推荐《反欺骗的艺术》这这书的原因。通过阅读这书，你可以眼界到各式各样的社会工程进攻技巧，深刻领会社会技术工程师的思维模式，了解骗子公司常用的话术技巧，进而提升自己对蒙骗的免疫能力。

　　这书的下一个关键点是，攻克人的环节最重要的技巧是骗取信任，而我们经常错误地使用信赖。

　　人是网络信息安全过程中的最大缺点，很重要的一个原因是设备只考虑逻辑性，而人要受到过多情感因素的干挠。软件系统漏洞的偶然性在于如果软件足够复杂，那么系统漏洞基本上不可?苊猓诵员热砑母丛佣仍对陡叱隽撕眉父鍪考叮虼巳诵陨系穆┒椿岣嘁哺旅?

　　《反行骗的艺术》用大量案例告诉我们：人们有责任心、有倾吐欲、有内疚感，会害怕、会贪欲、会疲惫、会盲目从众，这些系统漏洞，会干挠人们作出客观的判断，而社会技术工程师擅于利用这些缺点，结构出虚报的场景，让人们作出错误的判断和决定，把信赖给予错误的对象。

　　社会工程学进攻中一个最常见的场景是：社会技术工程师装扮成目标用户的朋友，直接了解相关的比较敏感信息。如果由电子计算机来处理这个被了解的过程，电子计算机会严格地对询问者进行身份查询和校验，随后得出明确的判断：允许或者不允许，没有一点模棱两可。人类处理这个过程的方法则完全不同，与电子计算机相比，人类更擅于进行模糊不清判断，这是人类的优势，可以让我们以非常高的速度处理大量复杂的管理决策。但在遇到相近凯文·米特尼克这种社会技术工程师的时候，「模糊不清判断」就成为了网络信息安全的软助，他们能控制我们心态上的起伏，促使「模糊不清判断」的限度发生很大的变化，超出网络信息安全策略所允许的界线，诱惑我们为他们打开方便之门。

大部分人要感觉受害者由于愚昧所以才会「随便」上当受骗，只要保持足够聪慧就不会上当受骗。但电信诈骗往往会如此泛滥成灾，并不是因为目标用户「愚昧」，而是因为他们错误地使用了「信赖」。骗子公司经常利用盗取到或者在地底市场购买来的社会工程库，充足了解目标用户的各种情况，包括名字、电話、家庭住址、亲子关系等内容，再加社会工程学的方法，结构了让目标用户容易产生信赖的场景，在这样的环境下，目标用户容易得出自己的信赖。有些骗局设计之恰当，连我这样多年从事网络信息安全职业的专家都不能幸免，所以不能简单地认为只需要不愚昧就能保护自己，而是应该通过不断进步实例和深层次思索来训练自己，管住自己的信赖，不要把信赖随意交到看起来熟悉的人，这才是保证我们自身安全的重要原则。

　　如果我们分析一个典型性的电话诈骗过程，会发现虚报的信赖无所不在：骗子电话传来时，网络攻击会利用来电提醒功能的系统漏洞向你展示一个可以信赖的手机号码，你看过几眼，作出了错误判断：「这打电话来源于我的公司。」如果你接起电話之后，网络攻击会随口给出迷失东京、住址、单位、职位等等，这会切实加强你的信赖，你内心会想：「对了，这肯定是公司朋友，才会如此了解我。」无意识里已经把对方作为了可以信赖的人，此刻网络攻击会再想方法结构一个虚报的场景，让你感觉心急或者担心，「老板没有接到你的表格」或者「工程部正在调研你受贿的情况」。因此你乖乖地掉进社会工程学圈套，把比较敏感文件发送给了对方。如果我们把这个事例中的联系电话换为电子邮箱，或者是公司工作制服和胸卡，那么就可以很轻松地得到另外两个行骗场景。

　　凯文在《反欺骗的艺术》中提示我们，日常就应该针对相近的行骗过程有所提防，比如：电話传来的时候，要提示自己来电提醒不一定可靠，需要通过其他方式交差认证。语音通话的时候，不能简单地因为对方了解情况就假定他是朋友或亲戚朋友，还需要附加的身份认证方式，担心、害怕或贪欲的时候要深吸一口，减慢节奏感，严格执行规定执行。即便是紧急状况，当时错过了思索，过后也要细心回望整个过程是否有异常的地方，这样就算是已经掉入圈套，也可以及时挽救。

　　第四个关键点，网络攻击获得信赖的重要近道是「看起来无关痛痒」的数据泄露。

　　前边说到，社会技术工程师会利用目标用户的隐私保护信息，建立容易获得信赖的场景，那他们是通过什么方式把握目标用户的各种隐私保护信息的呢？其中一部分是通过黑客技术和地底黑市交易，但更多的则是通过目标用户自己「看起来无关痛痒」的数据泄露。

　　我周边有一些朋友经常喜欢在网络媒介上潜意识地泄漏自己的信息，比如微信发朋友圈的时候标识住址，微博文章的时候谈及真实身份，自拍照的时候一不小心包括了所在单位的名字，在社交媒体上和日常生活的亲戚朋友进行互动交流，度假旅游时晒车船飞机票甚至身份证号码护照签证等。在我给予真诚的提示时，绝大多数人要不以为意：「这些信息无关痛痒，即便泄漏了也不会带来严重的后果。」凯文在《反欺骗的艺术》中，用丰富的实例向我们说明了：看起来无关痛痒的信息并不是真的无关痛痒，这些信息，通过社会技术工程师的组合和应用，在特定场景下也会产生巨大的作用。

　　人们有信赖亲戚朋友的倾向性，而「看起来无关痛痒的信息」可以帮助网络攻击「变为」你的「亲戚朋友」：电话诈骗案子中，家里的老人经常会对自称为是儿女朋友的诈骗者信以为真，因为对方能顺利讲出儿女的名字、年龄、职位、所在单位、毕业学校、住址等，而这些信息都可以通过社交媒体轻松找到。

　　人们有信赖朋友的倾向性，「看起来无关痛痒的信息」可以帮助网络攻击装扮成你的「朋友」：社会工程进攻中，网络攻击一般都会先往外场启动几回辅助进攻，获得企业的内部组织架构、专用专业术语、内部流程、人员名字等等信息，随后就可以顺利掩藏为企业内某个素不相识的「朋友」，骗领进攻目标的信赖，而这些「看起来无关痛痒」的信息，都是企业内其他职工在没什么警醒的情况下通过电話、电子邮件或者社交媒体向社会技术工程师泄露的。