国光我从 15 年开始接触到信息安全到现在已经快 7 年了,但是总感觉自己的成长速度太慢了,也亲眼看着后辈们从小菜鸡快速地成长为比自己还要厉害的大佬,越发感叹信息安全行业里面真的是“逆水行舟,不进则退!”啊。特此写下此文记录一下心路历程,希望可以督促自己不断学习,不忘初心。

随笔

国光最后悔的事情就是大学期间没有认真静下来学习编程。我的大学专业是软件工程专业,因为当初比较叛逆非要自学信息安全,学校上的编程类的课程都不是很重视,比如:数据结构、算法、高数之类的,当初天真的认为做安全的不需要学编程,只需要如何掌握攻击就可以了,现在看来这是一个很错误的选择。

后面工作接触了不少从程序猿转安全的大牛,他们有的学习安全才不到 1 年,但是掌握的姿势并不比我这种搞了很多年的要差,编程功底扎实真的可以在安全的路上走的很远很长。而很多搞安全的人大多比较浮躁,难以静下心来学习代码。圈子里面一个有趣的现象:搞二进制的大多数是学霸,搞 Web 的大多都挂科(我的偶像画船听雨甚至还因为挂科被迫留了一级 =,= ),更加佐证了 Web 安全太杂,学时间长了会让人很浮躁。所以我后面把博客的标语换成了:“宁静致远” ,这也是 Kali Linux 那句英语直译过来的意思。

另外后悔的事情是打了 2 年的 OpenStack 云计算比赛,实际上当初学习的 OpenStack 云计算姿势在工作中并用不到,虽然看上去是一个比较高大上的技术,但是如果一个技术用不到的话,那么学习起来就是弯路,因为计算机世界中有太多的知识要去学习探索,人的精力有限,得把时间放在更有意义的事情上面。

还有自己曾经也比较沉迷黑苹果,结果身边的朋友们一个个都换了 MBP 了,自己还是停留在黑苹果的状态,虽然最后我自己也入手了 MBP 了,但是现在看来当初通宵研究黑苹果真的是一种很傻的行为,实际上淘宝上花个 100 元左右的费用完全可以安全全套的,为啥自己要去从零开始学习这个没有用的技术呢?

后面在 Python 的面向对象的思想中也更加证实了这个理论,当初讲师举的例子是:如果你想吃啤酒烤鸭,面向过程的人呢会怎么做?他们会去买一只小鸭子,然后亲自养大,当鸭子长大后再去学习烹饪技术,最后历尽千辛万苦终于吃上了啤酒烤鸭(当然还可能烹饪技术不过关,导致食物中毒…)。而此时一个面向对象的思想的人,会直接来到啤酒烤鸭店,直接向老板 new 了一份啤酒烤鸭,然后坐等上桌就 OK 了。这样看来当初自己研究黑苹果的技术真的很傻,我国光又不指望靠这个黑苹果装系统赚钱(而且也赚不了什么钱),从零开始学这个真的是毫无乱用啊!!!

最后还有一些后悔的事情,比如国光我的博客经常更新一些水文,有些水文还是很消耗时间的,比如全站浏览量最高的 Termux 文章,这个 Termux 实际上对于玩过 Linux 的朋友来说,完全不需要学习啊,直接上手就可以了,而我却长篇大论硬是写了这么多,这个世界小白太多了,我没有这个义务去手把手教会他们,所以以后更新文章一般不会再更新一些保姆级的教程了,因为真的没有必要,很多情况下只需要提供一个思路完全就 OK 了。另外国外抄袭风气还很严重,直接抄袭白嫖不标明出处的我也见了太多太多了,你的文章写的很好,可惜下一秒就是我的了。

吐槽了这么多,总的概况一下就是:不要学习折腾一些无关紧要的技术,时间很宝贵,得花在更有意义事情上面。

更新

以前字节的导师一个观点很有意思,分享给大家:

想象这样一个场景,一个五年甚至十年的安全专家,历尽千辛最后终于在代码当中发现一个小错误,可能是 SQL 拼接,也可能是其他的低级错误,而这个错误 BUG 是一个实习生写出来的。代码修复起来很简单,大不了过滤一下加固一下,开发者打心底也不太会很重视这个漏洞的。

安全行业做的越久的话,如果还原地踏步去挖一些低级漏洞或者之前就在挖的漏洞的话,这样并没有带来实质性的进步。没有进步就会导致:渗透经验 10 年的老师傅和渗透经验 1 年的新人本质上没有任何区别。

所以应该用我们的安全思维去最大化服务于产品服务于公司,这种方向有很多:可能是编辑器安全插件、也可以是全自动化黑白盒扫描,总之得让自己的安全能力最大化体现出来。

如果有这种思维的话,下面这些技能点的话就可以不用太在意了。举个例子「前端」,实际上前端也是永无止境的,整个编程方向都是如此,知识是学不完的。

国光给大家的建议是有目的性的去学,结合「学了这个可以做什么」,「自己是否感兴趣」,「这个知识是刚需的吗」等因素,而不是盲目地学习。回想起 _画船听雨 的采访,他也是建议大家需要什么就去学什么。

如果你想做 PHP 代码审计的话,很细致的把 PHP 开发学一遍这种方法并不是最高效的,虽然可能这样的确审计起来很扎实,但是有没有想过,除了 PHP 未来还有 Java、Python、Golang、NodeJS、TypeJS 等语言出现,如果要审计这些语言的话,哪有这么多时间给你学习呢?

支持一下

本文可能实际上也没有啥技术含量,但是写起来还是比较浪费时间的,在这个喧嚣浮躁的时代,个人博客越来越没有人看了,写博客感觉一直是用爱发电的状态。如果你恰巧财力雄厚,感觉本文对你有所帮助的话,可以考虑打赏一下本文,用以维持高昂的服务器运营费用(域名费用、服务器费用、CDN费用等)

微信
支付宝

没想到文章加入打赏列表没几天 就有热心网友打赏了 于是国光我用 Bootstrap 重写了一个页面用以感谢支持我的朋友,详情请看 打赏列表 | 国光