“乌云社区”的创始人方小顿。5年来，这个他一手打造的社区吸引了国内几乎所有的顶尖黑客。(图片由“安在”提供)

 

本报记者　张小叶

 

大约在10年前，17岁的高中生杨蔚开始经营自己的第一门生意。两台电脑，一根网线，几个合伙的同学，杨蔚的工作室就开张了，业务范围是倒卖游戏装备和QQ刷钻。

 

这份工作需要的技术含量不算高，但竞争者甚多。对出生在湖南湘西小县城的少年杨蔚而言，这是他接触技术世界的缘起，还给他带来了一些收入:在工作室解散以前，杨蔚靠这些“业务”赚了好几千元。

 

10年前，整个中国网络安全的法律边界尚未确立，一个小县城的少年又如何知道，黑客是什么?　怎么做一个好的黑客?

 

几乎在同时，一个比杨蔚大不了多少的年轻人正在思考如何改变这一切。他叫方小顿，1987年出生，15岁考进大学，21岁进入百度安全部门工作。两年之后，他创建“乌云社区”，这个自由社区吸引　了国内几乎所有的顶尖黑客，并迅速成长为中国最大的互联网漏洞报告平台。它不仅推动了中国信息安全的进程，使几乎所有互联网使用者直接或间接地从中获益，而且改变了万千像杨蔚这样年轻黑客的命运。

 

方小顿:“乌云来了，要下雨了”

 

即使是最普通的、对信息安全一窍不通的用户，也或多或少听说过“乌云”这个名字。成立5年来，超过1万名漏洞挖掘者累计在乌云公开了3万余个漏洞，其中一部分足以在网络上掀起轩然大波。2014年，乌云先后曝出腾讯QQ群关系数据泄露、携程信用卡信息泄露、12306密码泄露和联通系统漏洞，这使乌云在名声大噪的同时饱受争议。在许多人看来，乌云就像是一个手持利剑的搅局者，剑指之处，山摇地动。

 

相比乌云，创始人方小顿的形象却出乎意料的简单。28岁的他，留着中长发、戴眼镜、蓄着胡子，一看就是“热爱摇滚的技术青年”。事实也是如此，方小顿崇尚技术、热爱音乐，并刻意通过不同寻常的打扮，将这种内心的喜好直接展示于人:“如果真的有人因为我的打扮觉得不舒服，那就直接不聊呗。我倾向于让事情变得更简单，拐弯抹角的就不好。”

 

2010年，方小顿曾跟随百度的CEO李彦宏去了“天天向上”，并在节目中高歌一曲　《一无所有》。这是他首次在公众面前亮相，也成为日后圈内人聊起他必提的轶事之一。但方小顿本人却从来没有回头看过这档节目:“了解我的人都说，台上的我和平时相差不大。当时也没有准备或者排练，说让我上去唱歌，我就上去了，心想就算唱砸了不是还有后期吗?”

 

大概只有心思剔透的人，才能创造出乌云。直到现在，乌云仍然以自由社区的形式存在于网上:页面干干净净，漏洞按照发布、确认和公开等不同阶段，以列表的形式排布于首页上，除此之外，这里看不到一个商业广告。“像是过时的、已经被淘汰的论坛。”方小顿如此形容。

 

这正是他多年前构想的乌托邦的模样。让他欣慰的是，5年过去了，初心仍未改变，正如社区对自己使命描述中所强调的:“我们尝试唤回大家对技术的尊重，乌云将跟踪漏洞的报告情况，所有跟技术有关的细节都会对外公开。”

 

几年前，这种对漏洞的公开行为被企业视为一种冒犯，但这两年，在乌云的不懈努力下，它已经渐渐变得可以被接受。行业的封闭正在被打破，信息安全也因此得到了前所未有的重视。

 

这一切来之不易。方小顿不会忘记自己刚刚工作时，一个安全工程师的处境是如何艰难:站在企业的角度，安全是成本、是限制，它不产生效益。企业的管理者自然希望每一年都风平浪静，可是当真的什么事情都没发生时，他们又会质疑安全部门是不是无所作为。而安全工程师的贡献更是无法衡量———“第三方的安全厂商永远说你的工作做得很糟，当然是这样，否则它的产品卖给谁?　和同类型的公司对比也是不现实的，因为任何一家企业都不可能对外公开自己的安全状况。”

 

行业无法进步，也是黑产横行、黑客肆意攻击的根源。在那个时候，任何人发现漏洞，上报给企业，不仅得不到奖励，反而会被企业威胁，因为企业将这种“未经授权的测试行为”视为“非法攻击”。因此，越来越多的漏洞流向地下黑市，通过它们，犯罪者可以窃取大量的用户信息，并以此牟利。

 

随着互联网爆发式的发展，越来越多的人将日常生活的信息搬到了网上，但信息安全的发展却被锁死了———就像一个日益丰富的宝藏，却没有安装相应级别的安保系统。

 

高墙重重，但仍有间隙，程序员的技术交流是唯一的突破。那时，各大企业的安全工程师彼此相识，并在QQ群里无私地共享、交流技术心得，方小顿就是其中的积极分子。后来，他和朋友在北京的酒仙桥一带开了一个黑客酒吧，作为线下交流的活动场所，同时也是表达黑客存在和价值的一种方式。但这些远远不够，他在寻求更行之有效的方式改变这一切。

 

2010年，乌云社区诞生。在云概念刚刚兴起的环境下，“乌云”这个名字显得意味深长———保存着海量用户数据的云，却得不到很好的保护，这样的云不是纯洁的。

 

真正的挑战者出现了:乌云来了，要下雨了。

 

杨蔚:“白帽子的伟大理想”

 

而对于杨蔚而言，2010年是比较特殊的一年。他的工作室因为利润越来越薄，终于解散，同时又遭遇了高考失利。心灰意冷的杨蔚决定离开老家去外面闯一闯，他在珠三角的几个大城市里辗转，四处投靠老乡，投递简历。到了这时，杨蔚才感觉人世艰险，只有高中学历的他在大城市里几乎难以谋生。碰壁多次，终于找到了一份和计算机沾点边的工作:去电脑城给别人装机，月薪2000元。

 

这份工作和想象中差距太大了，也养活不了自己，杨蔚没去。他最终去了比亚迪工厂，在车间里做流水线工人。

 

流水线上的劳动既漫长又枯燥、周而复始，杨蔚知道自己不属于这里，周围人也觉得他眼高手低、格格不入。那几个月，他在大城市的最底层游走，体验人间辛酸，每一天都更坚定要逃离的心。终于熬到夏末，父母托人给他找了个大学，杨蔚如释重负，回到了长沙，烫了个头，作为新生活开始的标志。

 

重回校园，本应好好珍惜，但杨蔚拿到课表后，顿时眼前一黑:“因为计算机专业的学费太贵，我就看名字选了机械工程，本以为和计算机沾点边。结果机械工程居然是制造业，毕业后还是去车间工作，和之前一模一样。”而此前，他已经下定决心绝不回到“传统的、固化的、一尘不变的”制造业中。

 

在学校里，杨蔚仍然是一个异类。他买了电脑，通过搜索引擎和安全论坛自学技术，关注信息安全产业的动态，此外，他最喜欢看行业内已经被“封神”的黑客自传和经历。

 

印象最深刻的是方兴的自传，杨蔚是在被窝里一口气看完的。方兴充满传奇的经历，是中国早期黑客的典型代表:他出身微末，从保险公司的出单员做起，几乎靠着完全自学的方式，考出高级程序员证书，掌握各种计算机语言，一路修炼成攻防高手。他历任启明星辰、EEYE和微软的安全专家，是第一个登上微软BLUEHAT安全大会演讲的中国人，后来又创立了国内第一家专注于对抗　APT(AdvancedPersistentThreat，即高级持续威胁)　攻击的安全公司瀚海源。

 

杨蔚从别人的故事中汲取信念和力量，同时也被他们的选择和善恶观所影响。方兴说自己不是黑客:“如果黑客说的是控制别人电脑、以漏洞来牟利的那种人，很显然，我不是。”在这样的故事中，杨蔚看到了真正的守护者和“黑客精神”是怎样的，也下决心要做这样的人。

 

这时，一个机会来了。有个同学对他说，杭州有家企业在招计算机技术人员，可以帮忙推荐。杨蔚想去搏一搏，他与父母长谈一次，坦诚了自己的志向，随后去办理了退学手续。就这样，重返校园不过一年，杨蔚又回到了社会上。

 

在他原本的构想中，自己可以从一个普通的程序员做起，一步步向安全领域发展。可现实比他想象得要残酷，介绍人没能帮上忙，他再一次飘无定所，租房、吃饭都成了问题。几经辗转，他在数码城的手机店找到一份活，卖手机，每天工作12个小时。杨蔚唯一的要求是:“生意不忙的时候，让我用店里的电脑上上网吧。”

 

在这个时候，他接触到了乌云。彼时，乌云正身陷创立以来最大的危机中，因为曝光了中国最大的-T技术论坛CSDN的漏洞，网站遭到疯狂攻击，关闭了将近一个月。再度恢复后，又因为曝光了某运营商的漏洞，被对方直接注销了网站备案。

 

那个时候，企业觉得网站漏洞这种事情是“家丑不可外扬”，没有靠山的乌云随时面临关停的危险。就在这种风雨飘摇的环境中，杨蔚慢慢成长为乌云最核心的“白帽子”。他一度不被承认的才能，在这个社区里得到了展现和认可。他比以前更加忘我地投入了“挖漏洞”的事业中，在白帽子当中的积分和排名也直线上升，最高时冲到了第二:“冲榜单是一件很刺激的事情，你会发现自己在挖漏洞刷积分的时候，别人也在这么做。”

 

那个时候，白帽子杨蔚的伟大理想，是把厂商列表中的所有企业挖一遍漏洞，就像小孩子集齐一套闪卡那样。那时，中国的互联网企业才数百家，实现这个愿望并非不可能:“这也是每一个白帽子梦寐以求的成就。”

 

2012年，因为发现了腾讯的漏洞，他结识了腾讯安全部门的负责人，对方把他拉进了一个QQ群，群里全是“传说中的人物”。就在两年前，杨蔚是看着他们的故事熬过现实中的失意和挫败的，如今他终于跻身为其中的一员。这个江湖人人都有代号，他的代号是“301”———来源于他在某个安全群的编号，后来就沿用下来。

 

同一年，杨蔚得到了一家知名安全咨询企业的认可，企业的老板问他有没有兴趣来上班。于是，22岁的杨蔚终于实现了最初的梦想，真正意义上进入了安全行业。

 

乌云:“无所畏惧的理想主义”

 

方小顿和杨蔚，天各一方、经历迥异的两个年轻人，也因为乌云有了交集。方小顿的代号是“剑心”，杨蔚也习惯以此称呼他:“剑心喜欢和我们这些白帽子聊，在这种交流的过程中，乌云渐渐变成了现在的形态。”

 

在白帽子们的建议下，乌云设立了“集市”。提交漏洞攒下来的积分可以变成“乌云币”，并在集市中购买物品，1个“乌云币”相当于10元人民币。杨蔚还记得，乌云集市推出的第一个商品是一台iPhone5，当时遭到了白帽子的疯抢，价格水涨船高，最终被人以950乌币的价格拍走了。“就相当于用9500元买了一台iPhone5，但那个白帽子感觉特别光荣，拿去给自己媳妇儿用了。”杨蔚说。

 

事实上，白帽子的价值，远远不止一台iPhone5。尽管乌云对漏洞的强制曝光令厂商不快，但后者终于从中认识到安全的重要性，渐渐地，开始有小厂商找到他们:“我们没有安全部门，养不起专职的安全工程师，能不能把这块工作外包给白帽子，请他们定期来为我们做漏洞的扫描和监测?”

 

乌云的商业价值开始浮出水面。从2012年起，“乌云众测”正式向公众推出。3年来，超过200个众测项目在平台上进行，白帽子们总计获利超过500万元。如今，一个在乌云上水平较高的白帽子，通过合法的、有偿的漏洞测试，能够月入数万。

 

方小顿说:“你会发现，在媒体中曝光的黑客群体，大多是‘三线城市的、高中没毕业的天才少年，，他们算是有点技术，但业内的人一看，这种技术也算?　为什么是这样?　因为大城市里一流的技术人员能够找到很好的工作，如果你的技术被认可、收入又高，谁愿意去做坏事?　相反，如果他得不到周围人认可，日常开销也难以维持，又没人引导，他能去干什么呢?”

 

业内有一句话:“乌云之前，全是黑的。”乌云带来的暴雨，一点点地冲刷了行业的阴暗面。方小顿的初衷原是为了帮助像自己这样的安全从业者，却无心插柳柳成荫，大量黑客在这里“上岸”，安全工程师的身价水涨船高。如今，在乌云上提交过漏洞，甚至成为不少企业招聘安全工程师的前置条件。

 

“2012年，我从百度辞职，专职运营乌云。回头看这个选择，损失极大，仍然留在大公司的朋友现在都已身居高位，身价高出我几倍。”方小顿说，但倘若没有乌云，你很难说这个行业会怎样发展。腾讯玄武实验室的创始人，被业内尊为“黑客教父”的于旸说:“从这一点上，所有安全行业的从业者，都应该感谢乌云。”

 

即使是最普通的互联网使用者也受益于乌云。这几年利用互联网漏洞牟利的“黑色产业”之所以减少，原因无非是两个，都与乌云的出现紧密相关:一是企业的保护越做越好，攻击成本越来越高，黑产渐渐无利可图;二是随着白帽子的价值越来越受重视，没有人愿意回去做黑客了。

 

争议仍然存在。比如，白帽子未经授权的测试是否合法，仍然没有定论。对此，方小顿常说的一句话是:“这个时代，很多企业把用户的信息保存在云上，却保护得很差，那是不是应该先来探讨这个行为是否合法?”如他所说，封闭永远无法解决问题，只有把争议的部分拿出来公开讨论，才能取得共识和进步。

 

进入安全行业后，杨蔚一有机会就向怀有成见的企业解释乌云的价值。2013年底，方小顿找到他，邀请他以合伙人的身份加入乌云，负责“乌云众测”项目。杨蔚欣然接受，在这个改变了自己命运的平台上，他要改变更多人的命运。

 

随着乌云的名气越来越响，有些前来众测的企业也怀着其它心思:“我出钱请你们做众测服务，你们要删除我们网站的漏洞。”按照社区的规则，一个漏洞的公布周期一般为45天:前5天，向厂商公布，10天后向核心及相关领域专家公开;20天后向普通白帽子公开;30天后向“实习白帽子”公开;45天后向公众公开。5年来，“不删除任何漏洞”是乌云严守的底线———哪怕在企业接受众测的过程中，被众测团队以外的白帽子发现并提交了漏洞，对此，杨蔚和他的团队免不了要去向企业一一解释。

 

令所有白帽子欣慰的是，乌托邦因商业兴盛，却没有受到利益的污染，直到如今，这条“铁律”仍在坚守。

 

“他是一个精神至上的人，因此他才不会被柴米油盐所左右，并把这种理想主义的东西坚持下来。”方小顿的朋友、信息安全媒体“安在”的主编张耀疆这样评论方小顿。

 

现在，方小顿在不变初衷的前提下，想要带领乌云走得更远。从商业化角度来说，乌云众测并不算是一个成功的产品:首先是需求有限，每个众测项目的规模都不大，成交额约在2-3万元，需求在可预期的范围内不会出现爆发式的增长;乌云只抽取很小的一部分作为分成，所得利润只能够维持社区团队的日常运转。方小顿和他的团队将这个项目看作是乌托邦的延续:“只要是有利于白帽子的事情，我们一定会去做。”

 

相比起来，去年12月推出的“唐朝安全巡航”，才被赋予了真正商业化的期待。这个安全巡航系统像是一个体检中心，由白帽子添加检测规则和策略，企业可以通过它进行安全漏洞的监控、检测和扫描。作为一个自动化的漏洞扫描系统，“唐朝安全巡航”可以低成本地完成许多日常的漏洞检测工作，同时，它会在众多白帽子的维护下变得越来越强大。

 

自乌云创立第一天起，方小顿就严肃地考虑过它的命运，无非两种:存在，或是死亡。“如果是后者，那就说明这个理想是行不通的，这个方法是不被允许的。”那怎么办?“找别的方法呗，可以做的事情那么多，我不会在意一次失败。”

 

正如张耀疆评价的，方小顿拥有真正的、良善的“黑客精神”———“这种精神无关于物质、无关于现实，是一种简单纯粹的理想主义。正因为他把一切都想明白了，知道什么是对的，也知道自己要做什么，因此才能够无所畏惧。”

 

名词解释

 

“白帽子”:正面的黑客，他们拥有识别计算机系统或网络系统中安全漏洞的能力，但并不会恶意利用，而是选择通知企业修复漏洞、修复后最终公开细节。

 

“乌云”:乌云网　(WooYun)目前是中国最大的互联网漏洞报告平台，这个平台上汇聚了国内几乎所有“白帽子”。在乌云出现前，厂商与“白帽子”缺乏平等的交流:“白帽子”发现网站的漏洞后无法联系厂商，厂商也无暇寻找散落在互联网各处的漏洞信息，导致一些漏洞无法得到及时修复，最终造成损失。乌云鼓励“白帽子”采用合法的方式、手段和工具研究并提交厂商的漏洞，经平台审核后，关于漏洞的一切细节将对公众公开。

 

漏洞报告平台机制的确立，极大地推进了互联网厂商对信息安全的重视，也促使万千黑客“上岸”，成为收入不菲、受人尊敬的“白帽子”。这个在争议中不断前行的网站，最终打破了信息安全的封闭状态，并在某种程度上改变了中国互联网的环境。