Sine安全-网络安全背后的巨人,提供服务器安全_服务器维护_网站安全解决方案

安全工程师对漏洞的研究与成长经验分享



      知识是无穷无尽的,更不用说一篇又一篇最新的分领域论文,课本、书籍、文献都可以消

化一段时间。我以前进过这个洞。我在学习蓝牙安全的时候,刚刚啃了一个星期的蓝牙核心

协议文档和几千页的英文pdf。我学到什么了吗?博学,但很有限。就结果而言,不如直接看

bluez/bluedroid的代码或者wireshark的数据包捕获分析。这样的选择有很多,比如学习USB

,是否需要先读RFC想做ARM反向,要不要先看Cortex的文档,……其实需要的时候可以看

具体章节。
 
 
前面说过,找准研究方向很重要,但不是一件简单的事情。在实际工作中,随着研究的深入

,我们会发现一些关键点经常碰壁,以至于怀疑这个方向是否成功。如果这个时候有其他的

新想法或者新想法,就会有强烈的改变方向的冲动。


 
这是人的天性,在这种情况下保持理性和专注很重要。有人说真正有追求的人应该选择挑战

那些高山,但是山不是一天两天就能征服的,甚至不是一两个星期,一两个月,一两年...在

这个过程中,他们难免会陷入自我怀疑。要么怀疑自己的能力,要么怀疑自己的选择。
 
 
 
 
为了避免这种情况,需要仔细选择目标。人们通常认为专注就是对需要专注的事情说“好”,

但事实并非如此。专注意味着对一百个其他好主意说“不”。安全研究不是请客吃饭。铲子挖

不出来。对于农民工来说,时间尤其宝贵。当你拿着这把铲子下去的时候,你需要确保有足

够的东西出来,要么是足够的结果,要么是足够的乐趣。开始前做好长期坐冷板凳的准备

,开始后全力以赴。
 
 
对于安全研究人员来说,保持开放也很重要,不要给自己设限。那不是和“克制”矛盾吗?是

的,有点矛盾。也许作协可以考虑给我颁发一个矛盾文学奖。但是矛盾无处不在,我们需要

做的是在两者之间找到一个合适的平衡点。比如作为安全专家,女朋友的电脑卡是给你看的

,你说“我是搞Linux安全的,但是不懂Windows,你为什么不重装CentOS?这显然不合

适。研究中总会有一些全新的领域,有些会发展成为未来的主流,有些则会随着时代而消失

。关键是要保持开放的心态,不要把自己局限在一个狭隘的子领域。至于如何选择,我认为

可以参考自动化定律:自动化的规则:如果一件事手工做了三次,你应该写一个脚本来自动化

它。也就是说,如果在研究中遇到一个问题卡了三次,就要花时间深入探究。例如,在研究

Linux内核漏洞时,我们经常会遇到NUMAnode的问题,因此值得花时间了解它的原理和实

现。这几点在目前的语境下可能会被选择性地忽略,但我心里知道,如果我从这里逃走,困

难会在别处等我。同时,不断探索是避免思维僵局的最好方法之一。
 
 
最后,2020年是忙碌的一年。我曾经饥饿地学习各种知识,我曾经挣脱枷锁,任自己飞翔。

但是,最终还是找到了自己应该走的路,关键在于权衡和选择。一方面要克制,避免陷入知

识的魔咒;另一方面,我们应该保持开放,避免固步自封。啰嗦这么多,就当是自我鼓励吧。
分享: