汗！四年了,乌云往事

来源：互联网
|
2020-06-28
|
0 条评论
|
T小字　 T大字

文章来源：腾讯安平密友圈

文章来源：腾讯安平密友圈

一晃乌云关四年了，今天又看这个公告，很感慨！

乌云网(WooYun.org)是由80SEC安全团队创始人剑心创立的安全漏洞报告平台，存在于2010到2016年，以安全社区为基础培养了一大批新生代白帽子，促进了国内安全行业的快速发展，在安全圈绝对足举足轻重的存在。TSRC作为国内第一家企业自建漏洞报告平台，与剑心及乌云亦有交集，以此纪念。

2010年，还在百度安全团队的剑心做了一个漏洞报告网站(即乌云网)邀请80SEC成员围观，我、云舒、rayh4c等人都纷纷表示支持，所以大家看到BAT3都是乌云网诞生当天加入的厂商。一开始感觉挺好，还可以收漏洞，接下来的事就好像不太对，因为乌云开始直接公开厂商漏洞了(后来改为先公开标题若干天后公开细节)，还会发微博。作为厂商，自然是不希望漏洞修复前被公开以及被炒作的，所以我们组团和剑心扯皮，固执如他自然我行我素。

后来剑心从百度离职，专门运营乌云网，拉了疯狗几个人入伙，还邀请我加盟。我想，你这样天天公布别人漏洞能创业嘛，遂拒绝。期间乌云通过不断地运营已经初步有了影响力，但是有个不好的地方就是乌云固执地不接受各种调和，只要是白帽子提交的漏洞，就一定要公开，有些漏洞还要发微博广而告之，不明真相的群众被漏洞吓到了，也让厂商很被动；还有一个巨大风险，即漏洞提交者的合法性，一些“白帽子”利用漏洞把库拖走了才去乌云上报告试图洗白；还有漏洞信息本身很敏感，在提交漏洞和厂商修复这段时间平台如何保证漏洞信息的保密。(PS.现在看到一些年轻人游走在搞黑产的边缘，还洋洋自得的，就捏一把汗).

提升安全意识维护社会正义改良行业风气也可以探索其他方法。2012年5月，TSRC启动漏洞奖励计划，平台内测，剑心知道后非常激动，交涉无果，当月乌云上密集出现腾讯漏洞。当时我非常头大，一方面是TSRC初期规则不完善，遭到以Superhei为首的白帽子吐槽，一方面又收到以PKAV团队为首的人在乌云发的各种高危漏洞。

没有办法，只有一个字:熬。“天下事，有所利有所贪者成其半，有所激有所逼者成其半”。

TSRC在运营中不断优化规则，到当年底的时候基本上捋顺了一点，也得到一帮白帽子朋友们的支持(TSRC初期没有现金奖励，最高级的奖品也就是个iPad，真心感谢他们)，收敛了很多漏洞。转眼到了2013年，1月，网易安全中心(也就是它的SRC)上线，接着更多的SRC上线，自建SRC拉开帷幕。很多人都希望TSRC把漏洞报告平台开源，考虑到剑心的感受，我们当时没有这样做，一直到2019年才发布了一个xSRC开源版本。

这期间乌云大发展，几次安全事件之后乌云名气越来越大，聚了一大帮高手，像著名的渗透测试之王猪猪侠(比他另一个网名ring04h还出名)乌云一哥Jannock、生物博士乌云二哥gainover，only_guest(为什么记得这些人？因为这帮家伙天天报腾讯漏洞啊，还多次拒绝我的亲自邀约)...除了漏洞报告平台，乌云开拓了新的业务(安全众测、TangScan这些基于社区的思路都很有新意)，重心有所转移，除了报个漏洞发个微博以外相对来说比较相安无事，反正也习惯了没事被抽一下--漏洞报到乌云总比流向黑产强。那段时间的直接受害者、前QQ空间资深前端总监scorpion后来谈到漏洞时说，(腾讯产品的文化)就是出现问题第一时间找自身的原因并立即去优化，而不是去解决提出问题的人的。前QQ空间资深前端高级总监，公益大王stone附议。

有一年去北京出差也顺便跟剑心吃了一顿羊蝎子，他还是固执地对SRC充满敌意，认为厂商不公布漏洞信息是不对的，辩论无果，那就喝酒，陪酒的小哥booooooom(不知道o的数量对不对)当场喝吐了，第二天我头痛欲裂，差点喝挂了；后来剑心数次来深圳，也抽空聚一聚(也顺便diss下名动天下的乌云CEO出差居然住七天，哈哈)，大家都知道剑心的脾气，所以在漏洞报告的事上谈不拢。

再后来的事大家都知道了，不讨论乌云引起的争议和其他事情，客观上乌云对国内安全行业发展是有贡献的，用曝光的方式让厂商和大众重视安全(虽然大部分厂商是被迫的)，也通过社区培养起来一代白帽子，大部分人投身到安全行业中，逐渐成为中流砥柱。

Superhei已经是安全公司知道创宇CSO，给他封了个漏洞之王的荣誉称号，还是一如既往地喜欢喷人；猪猪侠后来去了阿里云，低调了许多，在厂商做安全防护肯定不能再惹事生非了，我还给他报过漏洞，心里非常得意(哼，小子，终于体会到我的痛苦了吧)，你说我们这些大牛天天在处理那么多低级漏洞是个什么事，这个问题早和TSRC前负责人flyh4t讨论过，结论是这是救赎一一谁让你以前也给别人报那么多漏洞，出来混的，总是要还的；PKAV核心那帮家伙搞了个安全公司，现在在跟警方一起打击诈骗什么的，有次去成都出差还去看了下，看到年轻人能够成长为社会做出贡献，我感到充实而欣慰。

80SEC曾经的主页是一首歌词，放在这里结尾:

没有什么能够阻挡

你对自由的向往

天马行空的生涯

你的心了无牵挂

穿过幽暗的岁月

也曾感到彷徨

当你低头的瞬间

才发觉脚下的路

心中那自由地世界

如此的清澈高远

盛开着永不凋零