央视新闻调查：《我是黑客》下集

一个芭蕾舞演员在登台之前需要经过 3200 天的训练；帮助菲尔普斯在北京奥运会上狂揽八金的是他过去五年在游泳馆度过的每一天；你或许不会忘记科比的经典回答“我知道洛杉矶每天凌晨四点的样子”......

这个世界上有跑得最快的人，还有跑得更快的人，也有不断和自己赛跑、不断超越自己的人。央视新闻调查栏目《我是黑客》纪录片让我们看到在代码世界里不停狂奔的一群人，他们是黑客，他们是让世界更美好的黑客。

一个名为“极棒”的黑客大赛

随着镜头中邮轮缓缓驶向大海，耳边传来电视里低沉的男中音：

“明天将进行的是极棒黑客大赛，自 2014 年诞生以后的第五场比赛。

作为全球首个关注智能生活安全的比赛，在过去的四届比赛中，极棒赛场上被选手攻破的智能产品包括特斯拉汽车、路由器、智能手机、摄像头、保险箱、POS 机、无人机、智能穿戴等等。”

相比较 CTF （夺旗赛）对团队合作和选手体能的苛刻要求，以及 PWN2OWN 黑客比赛中挑战的目标都是难度系数极高的苹果、谷歌、微软等世界顶级企业产品，GeekPwn （极棒）黑客大赛采用了更为宽松、由报名者自由命题的方式，选手可以通过自己发现的智能领域安全问题或者创新的黑客技术进行报名。

《我是黑客》上集中，极棒活动发起和创办人、第一个获得世界顶级黑客大赛冠军的亚洲团队碁震团队创始人王琦说，办“极棒”就是为了给白帽黑客们提供成长的土壤。

今年 5 月份举办的 GeekPwn 年中赛上，来自中国、俄罗斯、韩国的十几组参赛黑客团队终于登上了“黑客邮轮”，在众人面前、在镁光灯下公开进行他们的黑客挑战。当然其中不会公开的是他们发现的安全漏洞细节，这将由比赛主办方交给相关产品厂商，并在漏洞修复之前都不得进行公开披露。

年中赛的开场致辞中王琦跟大家吐露了几句心里话：“经过了两三年的努力，我们不再被人说是诽谤、污蔑，从来没有一个安全活动像极棒这样在两三年内消灭这么多严重的安全问题。”

一场黑客大赛即将拉开战幕......

暗藏于清华实验室里的黑客

早在 2014 年，清华大学网络与信息安全研究室（NISL）的成员就曾登上 GeekPwn 嘉年华，分享安全领域的学术前沿。

2015 年 10 月，NISL 实验室成员走马、Godric、tsingfu 以及杨坤分别凭借 HTTPS 项目和多款智能设备项目斩获两个一等奖，入选 GeekPwn 名人堂（hof.geekpwn.org）。

2016 年杨坤代领长亭科技团队两度参加 GeekPwn，在澳门站比赛现场破解 9 款路由器和一款智能摄像头，还在嘉年华上海站现场展示了在越狱索尼 PS4 并在上面玩起了超级玛丽。

2017 年 GeekPwn 年中赛又成了同样来自 NISL 实验室的裴中煜和刘煜堃的舞台。他们发现一款路由器存在安全漏洞，并且由于功能设置，攻击者还能用它来谋取暴利。

两位清华学霸同样也是著名的蓝莲花战队成员。蓝莲花是一支源自清湖大学的 CTF 战队，在世界著名黑客比赛 DefCon CTF 中屡创佳绩。2013 年他们成为了华人世界中首次入围总决赛的战队，2014 年他们荣获了大赛第五名的好成绩；2016 年他们与上海交通大学 0ops 组成联合战队获取了第二名的中国战队最好成绩。

清华大学网络与信息安全实验室主任段海新说：“极客精神，发现问题让世界更完美。”

即便是战功卓越的学霸，依旧需要面对“解不出的题”。毕竟，在网络安全的攻防“实战”中，和普通考试的区别在于并不是老师教什么就考什么，而是没有“前方高能预警”的提示，在一个全新的迷宫里，你必须靠自己找到出口。

黑客梦比摇滚梦先报道

tyy，工作于魔都的程序媛一枚，极棒年中赛上唯一“女黑客”选手。

你完全可以想象出她两点一线的规律生活，标配双肩电脑包、T 恤衫、运动鞋。但是，她却不甘于这样的自我重复。在电影《速度与激情 8》中，她看到大荧幕上面的两位女黑客凭借出神入化的黑客技术在网络世界游走，在漆黑的影院里她眼前一亮，埋下了一颗成为“女黑客”的种子。

当然，tyy 在极棒实现了她的梦想。

共享单车“元年”不知该从何时算起，但是作为共享单车深度用户的 tyy 开始考虑这些单车会不会存在什么安全问题，而同为程序员的她，也不免思考这样的问题该如何解决。

终于在短短一个月中，她发现了 7 款不同品牌共享单车存在漏洞，但是比赛迫在眉睫，她来不及进行一一验证，因此在极棒比赛现场她展示了其中 4 款共享单车的安全漏洞，攻击者可以盗用别人账户进行消费，不仅如此，用户的个人信息、骑行记录等等隐私数据都面临泄露风险。

虽然是黑客新秀，但是 tyy 认为寻找漏洞并不是在进行破坏，而是为了让厂商尽早知道产品的安全问题，能够尽早进行修复，这样获得的成就感和建设者是一样的。

毕业于浙江大学计算机系的 tyy 同样是学霸，很酷的 tyy 平日里还会学习打架子鼓，看来“不想成为摇滚青年的程序媛不是好的女黑客”。

好黑客也会“干坏事”

“他在家里，用自己的手机把一个小区所有这个锁的密码全部拿到手了......”

来自百度安全实验室的黄正和谢海阔经过三个星期的研究，终于破解了一款智能门锁。比赛时，评委笑称：“如果这个智能门锁安全性有问题的话，以后开锁匠要失业了。”

怎料一语中的。赛前采访中，在记者改了密码一分钟内，谢海阔迅速便获取了新密码，成功开锁。智能门锁瞬间变成了防盗装饰，好在比赛之后该厂商已经及时修复漏洞，并向 GeekPwn 和黄正团队表示感谢。

在黑客圈已经小有名气的百度安全实验室 X-team 负责人黄正回忆当年如何入“坑”，还是要从“坏事”谈起。

高中时，黄正迷上了网络游戏，而且自己的号总是被盗。好奇心驱使，他开始在网上找资料、买黑客杂志学习技术，发现了另一个世界的他也学起了游戏外挂、在网吧免费蹭网，虽然偶尔进行恶作剧，但是黄正深知有些“线”不能越。

大学虽然读的微电子专业，但是黄正在信息安全领域的强烈好奇心一直驱使着他不断学习、摸索，到 2016 年，他已经是微软 MSRC 贡献榜中位列全球第八的白帽黑客。得知排名的他坦言：“这对从事安全工作人员来说，是一种无形资产，是一种非常非常有价值的、能证明自己能力的一种东西。”

“这个世界上除了钱以外，还有更高的情怀在”，黄正说。

全球黑客的“华山论剑”

国际化的黑客大赛，GeekPwn 当然不乏国际选手的参加。

2016 年 10 月，来自美国加利福尼亚大学圣塔芭芭拉分校的老牌 CTF 强队 Shellphish 团队的几位成员凭借某智能手机信任区安全漏洞、游戏引擎漏洞和安卓手机漏洞而在极棒嘉年华比赛中大展拳脚。

2016 年极棒上海站

2017 年中赛上，来自俄罗斯的安全研究员 George Nosenko 成功攻破思科交换机——可以想象成是公司电脑网线的另一端，交换机的漏洞可以导致巨大威胁，更何况还是坐拥全球网络流量 80% 的品牌，思科。

已过而立之年的 George 曾经为包括惠普、甲骨文、思科、Avast、BitDefender 等多家知名公司提交漏洞，他也曾获得有“黑客奥斯卡”之称的 Pwnie 奖提名。在极棒比赛现场，他凭借这一技术难度极高的挑战项目摘得“最佳技术奖”，获得最高奖金并入选极棒名人堂。

在比赛中表现尤为淡定的 George 甚至脚踩着房间拖鞋就登台挑战，着实颠覆了人们心中的俄罗斯黑客形象。

还有一组外国选手是挑战两款路由器的 Crixer，他生长于举国之力培养黑客的韩国。

BOB 计划是韩国面向所有对计算机感兴趣的人的教育平台，每年以无上限的经费和资源培养超过 100 名信息安全参赛者，一旦在黑客竞赛中获胜还能报送大学，甚至免服兵役。

Crixer 本人是为软件寻找漏洞，成为“漏洞赏金猎人”，从中获取成就感。

此外，的同学发现、腾讯玄武实验室 X 兴趣小组演示的一种新型“移动安全威胁模型”、看雪智能硬件小组的李伟、王启泽分别演示了多款智能家居产品漏洞和造成 Mirai 物联网病毒大规模入侵的“元凶”之一——雄迈摄像头漏洞，安恒海特实验室的研究员发现了智能摄像头、路由器、网关以及平衡车的安全问题，Cafe-team 团队攻破了 OPPO R9 手机的指纹锁和应用商店等功能，同样来自百度的安全研究员“小灰灰”则演示了儿童智能手表存在的安全问题。

2017 年极棒年中赛

这些选手发现的漏洞最后都将由极棒经过验证后交给产品厂商进行修复，白帽黑客并不是问题的制造者，“威胁就在这里，如果我们不去把它找不出来，迟早有一天，会有坏人把它找出来”，极棒评委、腾讯玄武实验室负责人 TK 教主于旸说。

人工智能安全挑战

2016 年，极棒黑客大赛已经开始关注人工智能领域的安全问题，并且有人工智能领域专家在极棒现场证实：现有的大多数最先进的机器学习分类器都能够被“欺骗”。这意味着，人工智能可能并没有那么可靠。

极棒创始人王琦说：“我认为人工智能截止到目前发展的六十年，其实只发展了 0.1。从 0 岁到 3 岁它可能花一百年时间，但是它有可能只需要 1 秒时间就从 3 岁到神。”

虽然人工智能研究还处于触及阶段，对于其可能存在的安全隐患，科学界、科技圈也争论不休。但是，已经不断有事实让我们看到，人工智能还不完美。

微软人工智能聊天机器人 Tay 上线不到一天便学会说脏话；波士顿动力公司的机械人不仅能在崎岖的地方走还能进行搬运工作，甚至默默承受下人类的“教导”；已经广泛运用在自动驾驶汽车上的图像识别技术被发现会受到具有“干扰因子”图像的欺骗，从而做出错误判断。

当我们开始以来这些人工智能的应用前，黑客思考的更多是“哪里可能存在风险”、“哪里会产生危害”。

“如果人工智能在发展，我们黑客不发展，那未来的智能时代会面临什么样的问题，我们其实并不知道”，王琦说。

极棒向全球顶尖安全极客发出邀请，在 2017 年 10 月 24 日举办的极棒上海站和 11 月 11 日举办的极棒硅谷站继续挑战“不可能”的任务。

来源：GeekPwn

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！