积跬步，至千里；积小流，成江海。作为一名白帽（道德黑客），积木用近4年时间从新手成长为MVP，他的挖洞之路正是一步一个脚印走出来的。

“当时在乙方工作，业余时间我开始和同事尝试挖一些公益项目或SRC （安全应急响应中心）漏洞，然后逐渐接触这个领域。”白帽积木向FreeBuf谈起自己2018年刚入行时的经历。

作为一个入行近4年的白帽，积木获得过2019年漏洞盒子年度MVP、2020年漏洞盒子马拉松MVP、2020年漏洞盒子季后赛MVP、字节跳动SRC2020年度排名第四等。

积木（右一）获得CIS 2020漏洞马拉松MVP

第一个高危漏洞

作为漏洞盒子的Top白帽，积木也是网络安全创新大会（CIS）白帽Live的常客。前不久，FreeBuf和积木聊了聊他的入行历程以及挖洞经验。

据FreeBuf咨询联合漏洞盒子发布的《2021年中国白帽子调查报告》显示，2021年国内白帽子总数已超过173300人，已经帮助超过数万个客户组织发现并修复了超过260万个漏洞。

此前的报告数据还显示，近70%的白帽子都是自学成才。积木也不例外，他表示，刚开始入门时经常在FreeBuf看漏洞挖掘的文章，有了基础之后经常去一些技术社区、公众号、知识星球看别人的技术分享，还会和其他白帽讨论挖掘漏洞的内容和技巧。

积木（右一）和队友在CIS现场

“有一位同事（ID：o神）经常挖漏洞经验丰富，他带着我们一起讨论，氛围很好，大家都愿意在挖漏洞上花费时间和精力。我们本身也是从事安全服务，日常工作也包括给客户做漏洞挖掘。所以业余时间我回去尝试挖掘互联网厂商的一些项目，顺便检验自己的技术水平。”

积木表示，正好同事在漏洞盒子挖洞便也加入了漏洞盒子。他还记得自己挖掘的第一个高危漏洞是在漏洞盒子的联想SRC，一个任意用户密码重置漏洞。

“刚开始对这类漏洞不太熟悉，在网上看到有任意用户密码漏洞的技术总结，看完以后我试着在SRC挖掘，想碰碰运气，后来就挖到了一个高危漏洞。”积木说，在漏洞盒子挖到第一个高危漏洞后，之后就长期在漏洞盒子参与SRC和众测项目挖掘。

进阶挖洞之路

积木挖掘较多的是逻辑漏洞。逻辑漏洞是指攻击者利用业务的设计缺陷，获取敏感信息或破坏业务的完整性。一般出现在密码修改、越权访问、密码找回、交付交易金额、退款金额等功能。

挖掘这类漏洞需要白帽熟悉业务系统和业务流程，功能越复杂的业务越容易出现逻辑漏洞，但相应的挖掘难度也会提升。积木举例，业务较单一的新闻网站，他只需要十几分钟便可熟悉，但功能庞杂的电商类网站和应用，就需要花较长时间熟悉系统功能。

挖逻辑漏洞前，积木会注册成普通用户，逐项体验APP或网站的功能。他的手机上一度同时存在数百个APP，因测试而关注的微信公众号数量达到上限。“每次都需要先取关一些公众号才能关注新的。”

积木印象最深刻的漏洞是在众测项目挖到的某金融网站SQL注入漏洞，该网站有本地的过滤函数以及云WAF，他通过不断模糊测试和查阅相关安全设备对SQL注入防御方式，同时他也咨询了其他资深白帽，最终成功挖掘出该漏洞。“挖出这个漏洞加深了我对SQL注入漏洞原理和一些绕过方式的理解，收获很多。”

CIS 2020白帽LIVE/漏洞马拉松现场

他总结了一些挖掘众测项目漏洞的经验。对于指定范围的挖掘，他会优先尝试功能更多、更复杂的系统进行渗透。“众测项目很强调挖掘漏洞的速度，我会优先测试自己擅长的漏洞类型，争取在较短的时间内发现漏洞。”

和漏洞盒子不断学习提升

挖洞需要不断精进技术，对于经常挖掘互联网公司漏洞的白帽来说更需不断学习。

积木告诉FreeBuf，他会经常系统性学习新技术，时常关注技术博客学习新技术。如果要挖掘不太熟悉的漏洞，他会“突击”学习相关技术，也会和同行沟通请教。

“想要提升技术，最首要的还是规范系统地学习相关技术。挖掘漏洞的过程也是对自己已有技能的输出。我们需要源源不断地进行知识输入，让自己的技能变得更加强大，这样挖掘漏洞才会更轻松。”积木表示。他透露，2021年参与了很多云业务的漏洞挖掘，近期还系统学习了云安全技术。

除了自我学习钻研，线下切磋也是学习方式之一。积木参加过两次CIS线下漏洞马拉松，2019年以个人名义参加，获得了漏洞盒子年度MVP，2020年积木战队获得了漏洞盒子马拉松MVP。

积木（右一）和队友在CIS 2020漏洞盒子马拉松现场领奖

漏洞马拉松的赛程采取积分制，挖到的高危漏洞越多积分越多。积木作为队长，和其他四位资深白帽共同参赛。“在线下挖过一次漏洞，现场公布挖掘范围，现场挖洞的氛围和自己一个人单独挖洞的时候更紧张刺激。”

平时的挖洞中，白帽们更多是“单兵作战”。但在CIS大会的线下漏洞马拉松上，白帽云集，互相切磋，积木遇见了不少白帽网友。

回想起刚入行的时候，积木表示，现在国家和企业越来越重视网络安全建设，白帽数量越来越多，越来越多的企业成立了SRC，项目和奖金也逐年提升；同时，各大高校也逐渐设立网络安全专业，越来越多专业人士进入网安领域，共同建设这个行业。