【白帽十问】“菜鸟”白帽的升级打怪之旅

百家 作者:平安安全应急响应中心 2022-09-07 22:44:59

后浪一词席卷全网的时候,有一群白帽子中的“后浪”们正在披星戴月,他们对未来无限憧憬,或因为老师或因为同学,抑或因为自己的摸索进入这个行业,不少白帽子不到20岁,已成为白帽大军的顶梁柱。

望海寺快下课是这些后浪中的一员他在多家SRC中活跃,同时也时常出现在各类竞技赛场上。今天我们就和他一起聊聊,看看他的白帽生涯是如何开始的,他又是如何努力向上生长的。



嘉宾简介:

望海寺快下课,独立安全研究员,F12sec安全团队成员,目前就读于浙江经济职业技术学院。擅长挖掘Web、APP、小程序系列漏洞。业余爱好观摩一些前沿渗透手法,通过在各大SRC提交漏洞,提升渗透测试手段及能力。



Q1:什么时候开始挖洞?挖洞累计获得多少收入?目前为止你获得的最好的成绩是?

 望海寺 :第一次提交有效漏洞是在2020年5月,为了获得EDUSRC的邀请码,提交了一个统一身份认证平台的漏洞。从2021年的暑假开始,才真正算是踏上“挖洞”这条路。算上一些线上项目,赚到的奖金刚好入门六位数。

 

Q2:印象最为深刻的一次挖洞经历是什么?

 望海寺 :印象最深的一个漏洞是在B站冲浪划水的时候,看到某公司官方账号发布了一个系统的详细使用教程,刚好前段时间我也在挖掘这个域名下的网站。视频教程中有出现几秒域名没有完全打码的情况,这是一个非常不规则的域名,我硬生生一个字眼一个字眼的抠出来拼接访问,访问之后虽然视频中没有给出账户密码,但存在缺陷可以爆破存在用户,利用验证码登录,居然还存在万能凭证可以登录任意用户,进入发现是一个类似测试站点,刚好此测试站点有对应正式站点,在正式站点注册登录利用测试站点发现的漏洞进行复现。

 

Q3:从高二开始就参加了很多比赛,并获得优异成绩。竞赛生涯给你带来了什么?

 望海寺 :通过竞赛接触到网络安全,正是有较早接触网络安全才能让我更加全面的规划好学业乃至人生的道路,同时在竞赛中技术能力得到了很大的提升,让自己有了立足的根本。更为重要的就是每一次比赛相当于一次免费的旅游,踏遍河山,开眼界,满口福。(哈哈)

 

Q4:你认为成为一名合格的白帽子,需要具备哪些基本职业素质?你觉得自己还有哪些方面需要努力?

 望海寺 :白帽子虽然目标是发现系统漏洞,但是不应该去恶意利用漏洞谋取私利,更为重要的是拒绝参与任何灰黑产业!

纵观行业前景自己还需要狠狠恶补内网知识,以及代码能力,这样才能不被后浪狠狠拍在沙滩上,哈哈,毕竟现在的后浪们都太猛啦。

 

Q5:挖洞过程中遇到了哪些困难?如何克服的?

 望海寺 :遇到过很强劲的XSS限制,通过不断观摩大牛们的文章学以致用他们的bypass手法也是成功绕过限制;还有遇到挺多不懂的知识点,都放在团队群里师傅们要是知道都会热心解答

 

Q6:你为很多SRC提交过漏洞,在众多SRC中,是否有自己挑选的标准?

 望海寺 :首先肯定是选择资产数量多,且经常爱出活动的SRC,其次更喜欢有那种可以有跟审核师傅进行漏洞评级有意义进行商讨的SRC。

 

Q7:毕业后打算继续继续挖洞吗?还是打算换行?

 望海寺 :目前看高中和大学的学习是会继续走漏洞挖掘这个方向,同时也会扩展所需的技能树。换行应该也是要等有中年危机的时候再进行的吧哈哈。

 

Q8:用四个字评价自己?

 望海寺 :持之以恒

 

Q9:除了挖洞,闲暇时间会做什么?

 望海寺 :闲暇之余喜欢跟着发小们组团打打游戏,健身强健体魄,一起自驾出去游玩。

 

Q10:你是如何提升自己的能力的?有哪些学习渠道或建议给其他同行?

 望海寺 :相较于我自己而言,我的学习路程极大部分都是自己寻找一些文献、文章、视频来提升自己的知识面,自认为较为重要的还是需要勤做笔记,这样才能加深对所汲取到知识的印象,也方便日后遇到相同问题可以有迹可寻;还有就是不单单只靠看,还需要自己去实践,毕竟实践出真知;

选择行业中的人,选择志同道合的人,去跟着他们一起学学。加入F12sec安全团队,在团队师傅们的不断互帮互助下我的渗透测试能力也有大幅度的提升。读万卷书不如行万里路,行万里路,还需名人指路,就是这个道理。


#


IN THE END


很多人像望海寺一样

在老师或朋友的带领下

懵懵懂懂的进入这个行业

然后用整个青春点亮这个行业

他们带着青春的味道

和对未来的美好期盼

为这个行业带来一抹亮色



活动专区

公开转发此文至朋友圈即可参与抽奖。

抽奖方式:发送关键词平安快乐至本微信公众号后台获取抽奖链接,点击链接抽奖,9月8日12:00自动开奖

*注意:兑奖时请发送当日朋友圈转发截图,不可设置分组!

奖品:PSRC中秋月饼礼盒1个






点赞、在看,感谢你的阅读▼ 


▼ 点击阅读原文,进入活动页面

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

公众号 关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接