江苏大学生组建“白客”团队 一分钟破译租车APP漏洞

小伙子们拿到的国家级“原创漏洞证明”。　刘康(站立者)和他的小伙伴们。

　　“双11”将至，他们在找电商平台漏洞 这些小伙子干吗呀？抱歉，不便言说

　　“双11”快到了，各家电商平台铺天盖地的广告扑面而来，可是有一群大男孩却成天在电脑上研究各电商平台有啥漏洞——他们游走在网络的“黑白之间”。大家都知道黑客，今天紫牛想说的是“白客”——一群与黑客相反、维护网络安全的人。在常州信息职业技术学院，就有这么一个5人团队，个个都是技术大牛，专攻网络漏洞。他们获得的国家级“原创漏洞证明”多达130多张，其中“老大”刘康同学一个人就拿了70多张。

　　通讯员 黄丽娟 张煜 记者 马奔 文/摄

　　“白客”刘康

　　不是学霸，却在官方排名中进了前五

　　刘康今年才20岁，读大二。

　　打开国家信息安全漏洞共享平台官方网站，就可以看到“白帽子原创积分排名”柱状图。在最新的排名中，刘康位列第五。“上周是第四，近三个月以来我都是排前五名。”刘康告诉紫牛新闻记者：“白帽子是我们的行话，其实我们就是正面的黑客，是网络安全的守卫者。从专业上来讲我们可以识别计算机系统或网络系统中的安全漏洞，但并不会恶意去利用，而是向国家有关部门上报漏洞。这样系统可以在被黑客利用之前修补漏洞。”

　　刘康初一时对网络渗透测试技术萌发兴趣。通过看书、看网上论坛等方式自学有关知识，并且随着了解的知识越多，对这方面技术的兴趣就越浓厚。“当时年纪小，还犯了些小错误，所幸父母和长辈及时引导，没有误入歧途。”

　　高考失利，没有考上本科，但刘康选择了常州信息职业技术学院的信息安全专业。大一刚入校，他就参加了学院的信息安全特长生工作室和兴趣小组，从学长和老师那里学到很多原来不了解、不熟悉的知识和技术。大一下学期，他在集训一个月后，参加全国信息安全大赛江苏省赛，获二等奖。“虽然成绩不是特别理想，但通过这次比赛，我拓展了自己的专业知识面，提升了自己的专业技能。”

　　刘康还特别感激班主任，是这位可敬的长者经常提醒他千万不要做违法的事情，还组织他们去校外参加专业方面的活动，了解最新的安全行业趋势和技术。

　　带领舍友找漏洞，5人团队全“白帽子”

　　和大学里很多男生宿舍不一样，刘康所在的宿舍没人玩网络游戏，几个人都跟着刘康学找“漏洞”技术，如今也都是国家信息安全漏洞网络平台上的“白帽子”，每个人手上都有该平台颁发的原创漏洞证明，其中光邱梦宇同学就有30多张，团队五个人共有130多张。

　　邱梦宇算是刘康比较得意的“徒弟”了。他今年6月份无意中发现某市招生平台网上填报系统的网页参数上存在安全隐患，这一隐患有可能泄露考生信息。邱梦宇将这一情况报送给平台，没过几天收到平台颁发给他的证书——这个漏洞被定为“高危”。

　　舍友封成森还记得大一刚开学时的情形，“刘康给我们讲他的网络漏洞挖掘经历，做一些在我们看来很高深的事情。”

　　逐渐了解刘康的本领之后，宿舍其他三个成员以及隔壁宿舍的一位同学都对这个漏洞挖掘技术产生了浓厚的兴趣。刘康先给舍友们开了一个书单，让他们去学校图书馆把这些书找来看，遇到不懂的问题，他都会耐心为大家解答。他还经常在宿舍或者有多媒体设备的教室，给舍友们“上课”，详细教授些基础知识，还在电脑上给他们演示挖掘漏洞的过程。

　　在舍友陈真眼中，刘康对技术特别执着和专注。“他不仅自学网络漏洞挖掘技术，还会多种程序语言，最近看他还在学习新的程序语言，而且他还自学网站开发。他常常学习到晚上十一二点，为了弄明白一个问题或者完成一项测试，宁愿不吃饭也要先把事情做好。宿舍有这么努力的榜样，我们都没有理由不努力了。”

　　他干的活，具体点说就是……

　　一分钟破译租车APP验证码漏洞

　　谈到最近一次漏洞的发现过程，刘康表示“纯属偶然”。这个学期刚开学，他通过手机上的某知名电动车租赁APP在学校门口租了辆车子，这个过程中他收到一个只有4位数的验证码，该验证码显示一分钟内有效。凭着专业敏感度，他脑子里立刻开始计算：理论上一个4位数的验证码，随机有1万种组合，用专业软件这1万种组合在一分钟之内可以破译。

　　从银行办事回来后，他随即同宿舍小伙伴进行了符合法律规定的模拟破译测试，果然如预想的那样，这个租车APP存在“任意爆破登录漏洞”。他很快把漏洞的详细情况报送给国家信息安全漏洞共享平台。工作人员将信息反馈给相应厂商，没过几天刘康就发现学校门口的租车APP有了修改。

　　“如果账号更换登录机器，多增加了一道验证程序，要上传该账号主人的身份证照方可使用。如此一来，安全多了。”刘康很自豪，觉得凭自己的技能，可以把潜在的危险规避，减少用户发生财产损失的风险。刘康的这一发现被国家信息安全漏洞共享平台界定为“中危漏洞”。

　　知名国企网站被他找到“高危漏洞”

　　刘康又给紫牛新闻记者介绍了一个他今年暑假发现的“高危漏洞”。

　　他在随机登录某知名大型国企网站的时候发现，虽然在后台页面找不到突破点，但是越过后台页面，登录到一个高级界面，通过技术手段就可以发现该网站后台很多参数都是可控性的，包括某些敏感数据、注册用户的所有信息都能修改。“万一遭到入侵，整个网站都会瘫痪，所有用户数据也将全部泄露。”

　　刘康给紫牛新闻记者打了个比方：“这就像每户人家都有锁，并且这把锁很高级，一般人打不开。但有些人可以绕过大门，从其他地方进入屋内，把屋内的家具、家电进行修改，导致这个屋子里很多东西都会无法使用。”

　　刘康当天上午就把该漏洞详细情况上报到国家信息安全漏洞共享平台，当天下午该公司网站就对漏洞进行了修复。“一般政府、大型国企网站的漏洞，一旦发现都会在12小时内得到修复。”这是刘康以他多年经验得出的结论。

　　工作不愁了

　　网络安全公司 聘他为“专员”

　　由于刘康在平台上的积分长期位居前十，南京某大型网络安全公司的老总亲自在网络上联系到他，专门聘请他担任公司的技术人员。今年暑假，刘康去该公司南京本部实习一个月，底薪4000元，加提成一个月一共挣到近6000元。开学后刘康返回学校边学习，边作为兼职人员以底薪2000元的待遇协助该公司开展网络安全方面的工作。这个目前读大二的男生工作是不愁了。

　　紫牛新闻记者了解到，刘康所就读的常州信息职业技术学院自2013年开始实施杰出人才培养工程，从满足学生多元化发展入手，根据专业禀赋与学生需求，创设不同的特长生工作室、技术技能竞赛平台、精英班、学习班、创业园(街、中心)等载体，按学生自愿与集中选拔相结合的原则，遴选出有兴趣、有基础、有潜质的学生进入相应的载体，集中院内外优质资源进行重点培养。目前，该校开展技能增强型、技术创新型、创业自强型杰出人才个性化培养。刘康正是这个工程的受益者之一。

　　(因刘康团队从事的一些工作涉及到机密或商业秘密，紫牛新闻不便详细描述，敬请谅解。)

相关链接：