“黑客”一年能赚多少钱?
实际上,江湖传言中确有一些一夜暴富,一月之间从捷安特换成兰博基尼的黑客故事。但是这些黑客无一例外都在从事“黑色产业”。他们盗窃用户的信息,**用户的银行账户,把用户的资金装进自己的口袋。换言之,他们是不折不扣的罪犯。业内人士告诉雷锋网,在网络黑产兴盛的最初几年,确实有年入千万,甚至上亿的黑客。但这只是少数人,而且随着国家对网络犯罪的对抗力度越来越大,可以很清楚地看到“从事”这项犯罪的人排着队锒铛入狱。
而我们要说的,是那些真正从事合法而且有意义的安全研究的“白帽子”黑客,他们更像是守护我们安全的“网络特警”。虽然白帽子的收入不菲,但相比“黑帽子”,他们的收入仍然属于“合理的范畴”。例如一个成熟的,可以和黑帽子及黑产进行对抗的白帽子年薪大概在30万左右。
不过,一个牛X的白帽子,实际收入往往会高于这个数值,因为他们有很多途径可以获得“外快”。因为他们在做安全研究的时候,会发掘出诸多的“宝藏”——漏洞,而漏洞是“值钱”的。
“漏洞之王”到底能赚多少外快?
凡是有价值的东西,都可以进行交换。而白帽子发现的漏洞显然非常有价值,所以漏洞平台往往会以各种形式鼓励白帽子提交漏洞。例如漏洞平台乌云,会以晋升等级权限、积分荣誉加上一小部分奖金作为对白帽子的奖励。而360旗下的补天漏洞平台则更加“实惠”,一直以对白帽子的高额奖励著称。这两种方式各有优劣,乌云更有情怀,而补天更实诚。
最近,补天漏洞平台发布了去年对白帽子的奖金数据。其中一名叫做“a0”的黑客在一年间竟然提交了将近1000个漏洞,这种非人的水平让这位大牛当之无愧地成为了“漏洞之王”。
2015年,a0 总共提交了929个有效漏洞,其中被认定的精品漏洞有171个。即使是按照精品漏洞来算,也可以达到平均2天一个。根据补天平台提供的信息,这位“赏金猎人”擒拿的漏洞,都是极其凶猛的“野兽”。
那么,这些漏洞究竟有多恐怖呢?稍微列举一二:
某涉及各大运营商的通用漏洞,可能导致上亿用户信息泄露。
某涉及社保系统的网站漏洞,可能泄露几千万居民信息。
当然,这一级别的漏洞还有很多。补天平台出于安全原因不会对外公布漏洞细节,所以没有办法确定这些漏洞具体是针对哪些系统。
凭借这些“野兽漏洞”,a0 拿到了90730元的现金奖励。当然,这只是来自补天平台的奖励。作为一名低调的 IT攻城狮,这位大牛还有自己的主业。所以虽然奖金不菲,但这仍只是他的外快。
补天平台负责人林伟告诉雷锋网,仅仅是漏洞数量,还不会让 a0 赢得这么多奖金。客观上来说这些漏洞的质量还是很高的。林伟本身也是一名资深黑客的,在他眼里整个中国的黑客水平在国际上已经位列第一梯队。
有很多事实可以佐证他的判断。从前不久举办的世界知名黑客大赛 Pwn2Own 的比赛结果来看,360Vulcan 团队仅用11秒就攻破*难度的 Chrome 浏览器;来自腾讯的 Sniper 战队更是问鼎了赛事最高荣誉:世界**大师,这些都是超一流的成绩。
【中国黑客在*黑客赛事 Pwn2Own 上】
中国黑客整体实力越来越强,漏洞的含金量越来越高。这已经成为一个值得我们骄傲的事实。
一个漏洞究竟值多少钱?
当然,之所以称之为奖励,其潜台词就是:对于某些人来说,这些漏洞的价值可能远超过奖金。那么,这些漏洞对谁来说最有价值呢?价值又是多少呢?
举一个不恰当的例子,
一个漏洞的身价可以和人来类比。人们说李彦宏的身价高,因为他可以调动的资源非常大,可以达成一般人不能达成的目标。而对于一个漏洞来说,它的价值取决于人们可以用它做多大、多NB的事。
不幸的是,如果抛开法律和道德,可以用漏洞做的最NB的事而几乎都是黑色产业。我们可以思考以下的问题:
1、对于互联网金融企业,它们的安全漏洞值多少钱呢?
360副总裁兼首席安全官谭晓生表达了担忧:
很多企业对自己的网络资产都不清楚。这些资产包括自己的域名、页面。很多人甚至不清楚自己到底有哪些服务,以及这些服务跑在哪些服务器上。在这个问题上,黑客往往比企业更清楚,他们会研究企业所有的线上资产,然后找到最薄弱的环节突破进去。
这个突破口可能是网站几年前的促销页面,也可能是由于疏忽忘记下线的测试功能。
举个例子,补天平台2015年在 P2P 行业就爆出了131个漏洞,而某个P2P平台内超过2000万的资金账户就有20个,其中不乏超过1亿元的账户。这样漏洞百出的网站会导致可怕的后果:如果被黑客注意到,他们通过技术**甚至可以做到直接提现到自己的账户然后拍屁股走人。
谭晓生说,虽然这种事情暂时没有发生,但未来很可能会有P2P平台因为信息安全问题而倒闭。
2、对于工业控制系统,它的安全漏洞值多少钱?
很早以前就有专家提出:理论上黑客可以通过漏洞入侵电力系统,造成电网大面积瘫痪,甚至基础设施损坏。去年圣诞节前夕,在乌克兰西部,这个预言变成了现实。安全公司微步在线向雷锋网(搜索“雷锋网”公众号关注)展示的资料显示,这很可能是由俄罗斯背景的黑客组织“暗黑能源”精心策划的一场攻击。而来自知道创宇的工控安全专家王得金告诉记者,全球有数万个工业设备直接暴露在互联网上。而这些漏洞一旦被黑客巧妙利用,可能会造成不可估量的损失。
3、盗取我们个人信息的漏洞值多少钱?
在证券、金融、电商等在线系统网站上,我们经常要登记自己的账号、密码,银行卡信息,身份证号、家庭地址。
一组震撼的数字足以说明问题:
2011年至今,全国已经有将近20亿人次的个人信息遭到泄漏,而仅仅根据补天平台上的漏洞数据,目前还有55.3亿人次的个人信息正暴露在黑客的枪口之下。
也就是说,你接到的所有诈骗电话、钓鱼邮件、欺诈短信,根源都来自于这条产业链。
4、威胁国防安全的漏洞值多少钱?
美国国防合约商雷神公司近年来不断收购网络安全公司,包括黑鸟这类攻击型的和 Websense 这类防御型的等等。而去年不断被爆出的“海莲花”、“暗黑客栈”等带有政治色彩的黑客组织更是我们国防安全的重要威胁。而这些APT(高级持续性威胁)用来定向攻击的武器正是高危漏洞。
【2015年 漏洞军火商 ZERODIUM 发布的漏洞“牌价”】
经过这些思考,相信你也会同意:上述的绝大多数漏洞,都已经昂贵到无法定价。而这些领域的漏洞,都包含在白帽子的研究方向之内。
包括微软、谷歌在内的科技巨头都会提供数万美元的“漏洞赏金”计划,鼓励黑客把自家的漏洞提供给自己。但是与此同时,在网络黑市里,买主却能轻易拿出十倍甚至更高的价格来购买这个漏洞。
当你看到成千上万的白帽子没有选择去把漏洞卖到黑市,而是去提交给安全平台获取赏金。恰恰不是因为贪婪,而是因为无私。
有人形容白帽子“用自己的智慧,把无数可怕的信息灾难化解在发生之前”,此言并不虚妄。
“漏洞之王”依然是普通人
如果你去了解白帽子的生活,你会发现即使是身为“漏洞之王”的 a0,也是利用自己的业余时间搜寻漏洞的“手艺人”。你也许会得出这样的结论:白帽子不是神,他们并不会用鼠标和键盘印钞。但他们的事业值得尊敬并且理应获得金钱的奖励。
相比之下,那些从事黑产的黑帽黑客虽然比 a0 赚得多不知多少倍,但他们却永远不能像 a0 一样沐浴在人们善意的目光里,也永远不能像 a0 一样平静地站在舞台的聚光灯下。
“漏洞之王”虽然不善言辞,却践行了一个不言而喻的真理:
依靠自己的智慧合法地赚钱是这个时代最有尊严的生活方式。