论漏洞挖掘与职业捡钱包

前阵子上面成立了个漏洞挖掘小组，当时就觉得这事不靠谱，但是不靠谱的原因却一时说不出。昨晚一阵电闪雷鸣，实在睡不着，于是躺着把这不靠谱的原因理了一下。
我们先来谈谈挖漏洞。这里说的挖掘漏洞指的是发现那些未知漏洞，即0day。作为漏洞的发现者有什么共同点呢。我们可以总结一下的发现者需要具备的素质。比如系统漏洞，一是需要挖掘者对计算机原理，操作系统的各个组成部分都有深刻的理解，知道漏洞是什么，为什么会产生漏洞。二是要不断的从事系统测试，读源码，反汇编等工作。
那么这和捡钱包有什么关系？理解系统就好比你有良好的视力，能把钱包和石头区分开来。不断调试就好比你有好的体力，能够每天在街上转悠。但是，我们有见过把捡钱包当职业的人么？显然没有。因为这些条件只是必要条件，不是充分条件。挖漏洞和捡钱包都最需要的是第三点，灵感和运气。视力再好的人也不可能保证每天都能捡到个钱包，体力再好，一星期没捡到钱包也会饿死。即使到时上帝跟你说要是再坚持一个月，没准能捡到一百万。相信谁也不会认为自己能有命活到那一天。同样的，即使你计算机知识学的再好，也不能保证每周找个漏洞。以找漏洞为职业，饿死是迟早的事。
有人会说，每月总是有漏洞被发现，每天总有人能捡到钱包。那么现实中谁捡到钱包的机会最大呢？答案是扫大街的。扫大街的一般视力都挺好，人家也得天天坚持上班，在街上来回转悠。但是请注意，别人的工作是扫大街，不是捡钱包，捡不到钱包，别人也还有饭可吃。虽然也许扫大街的捡到钱包的概率只有千分之一，你职业捡钱包，可能发现钱包的概率是百分之一。但百分之一和千分之一的差别相对于期望的百分之百来说是可以忽略不计的。这时候，保证每天有口饭吃比多出千分之九的概率捡到一百万，哪个更重要？
那么是否有人有雇人捡钱包的需求呢？上面跟我说有。即使有，那也是不成熟的需求。这就好像买保险一样，客户可能希望买份保险，万一哪天他钱包掉了有人能马上捡回来还他。但实际上，没有哪家保险公司敢开出这样的业务，应为这是不可能完成的。即使敢开，也只可能是以这样的方式，客户买了保险，万一出了状况，先仍骰子，掷到六点才赔偿。这样的保险业务，估计长了脑袋的客户都不可能愿购买。道理放到捡钱包上也是一样的。如果你一周没掉钱包，白白雇了许多人逛了一周大街，你会愿意花这钱么？万一你一这周真掉了钱包，但不知掉哪角落里，我运气不好，没找到，结果，还是让扫大街的捡到了。这时候，你又会怎么想，我又能怎么办呢？
何况，目前本人水平还谈不上深入的理解系统知识，连良好视力都没有，两眼一摸黑，要捡钱包就更是不可能。所以，还是让我去扫大街吧……

                                                                                  by 灭绝雪翁