第 567 章 民间高手与在押高手的交手
五天后，针对报名的高级交流的民间技术人员，国安联合网络安全协会，进行一个交流资质初步能力评定。
而在后台出题的则是小汤山监狱中的方渡、孙柏、以及刘长山，名目是技术能力等级评定。
于是报名参加高级交流论坛的五十多人与小汤山监狱里的前辈们开始了隔着网线过招。
测试开始的信号是一封邮件。
发送时间统一标为上午九时整，收件人是所有通过高级交流初筛的五十三人。
邮件内容极短，没有抬头没有落款，只有一行链接和一个倒计时——七十二小时。
附件是一份"技术能力等级评定须知"，措辞规范，落款是省网络技术协会，盖着公章。
五十三人陆续点开链接，屏幕上弹出一个极简的操作界面，没有欢迎语，没有说明文档，只有三行字。
"任务将在二十四小时后开始。请自行准备运行环境。建议使用独立虚拟机。"
没有人知道出题方是谁，也没有人知道任务是什么。
但报名者中有不少人注意到一个细节。
链接跳转后的IP段，显示服务器位于京州郊区的某个特殊区域。
而那个区域在地图上的标注是行政单位，不在商业数据中心名录里。
有人查了一下，没说话，退出了查询界面。
二十四个小时后，任务准时下发。
五十三份加密数据包被推送到每个人的操作界面。
解压后，里面包含一组经过脱敏的、模拟网络攻击的日志片段、一段被截断的数据流、以及一组看似无关的元数据散列值。
任务要求是：根据这些片段，还原攻击路径，识别攻击源的特征，并用不超过两页的技术报告说明你的分析依据和方法。
这不是一道理论题。
做过类似工作的人，看到数据包结构的那一刻就明白了。
这是真实攻击案例的脱敏版本，每一行日志都是真的，只是替换了时间戳和地理位置标识。
那些数据流里夹带着真实协议的细微特征，那些散列值背后藏着可以追溯的格式规律。
它不考知识点，考的是"你有没有碰过真东西"。
五十三个窗口，同时在各自的操作界面亮起。
有人在读日志，有人在解包，有人直接开始写分析脚本。
而在服务器另一端，方渡、刘长山、孙柏以及五名国安技术人员坐在两排显示器前，屏幕上同时显示着五十三台虚拟机的实时操作画面。
方渡负责监控网络溯源方向，他面前的三块屏幕分别展示着报名者的操作日志、分析脚本的实时输出和每台虚拟机的进程列表。
刘长山负责程序改写和漏洞利用方向，他的关注点集中在那些试图通过非常规方式访问数据结构的操作。
能在前半小时内找到隐藏入口的，说明思路灵活且有实战经验。
孙柏负责系统架构和多层关联方向，他在观察的是报名者如何将碎片化的元数据重新拼合成一条完整的逻辑链。
这不是知识点考核，是行为观察。
操作习惯、工具使用偏好、遇到卡顿时的变通方法。
技术报告写什么不重要，他们在测试过程中怎么决策，才是真正被记录下来的东西。
第一小时过去了。
三十七人已经开始提交初步分析框架，八人还在读日志，五人已经开始了第二轮的交叉验证。
还有三人直接跳过了日志分析，开始从元数据散列值入手反推攻击源的特征。
方渡的屏幕上，报名者的操作轨迹同步滚动着。
"这个人的操作习惯很熟。"
方渡开口，声音不大，但刘长山和孙柏都听到了。
他指着一个窗口，ID叫"老秦"的操作者正在用一套特定的工具链进行流量分析。
工具调用顺序和参数配置方式，和他以前认识的一个民间安全研究员完全一致。
"老秦"在以前方渡所在的交流群里说过话，但方渡不知道他真实是谁，但工具链的习惯不会说谎。
刘长山凑过来看了一眼，认出了那个操作者用的第三方库调用方式。
"这人以前在漏洞挖掘平台排名很靠前，后来突然不出现了。
我还以为是金盆洗手了。现在看，是换了个身份在活动。"
孙柏没有说话，但他在自己的屏幕上标记了两个ID。
这两个人的数据处理逻辑高度一致，像是同一个师傅教出来的，而且他们都没有在备注里留下任何暗示性语句。
事出反常，沉默本身也是一种信息。
测试持续到第三十六小时时，出现了第一次异常操作。
一个ID叫"铁马"的报名者，在分析过程中突然转向，不再处理给定的数据包，而是开始反向扫描服务器的外部端口。
他查到了服务器的大致地理位置，然后停止了所有操作，在技术报告里只写了一行字。
"服务器在京州郊区，方向偏西，大约三十公里。"
这份报告提交后，"铁马"的测试进程终止。他没有再提交任何分析内容。
方渡看到这份报告时，沉默了一会儿，然后说了一句。
"他是故意停下来的。他知道服务器在哪，也肯定知道那地方意味着什么，所以不再往下查。不是查不到，是查到了也不会说。"
刘长山回了一句："这人不是来考试的，是来确认的。"
最终有效提交技术报告的人有四十三份。
方渡、孙柏、刘长山用了四个小时逐一审阅，不仅看结果，更看过程。
每个人在测试中绕过哪些陷阱、用了多少时间切换到第二方案、是否有冗余操作。
技术报告的结论正确与否只占三成权重，其余七成来自操作过程本身所暴露的思维方式和行为习惯。
第六天上午，章卫东来到小汤山监狱。
还是二楼那间小会议室，方渡、刘长山、孙柏三人已经坐在桌对面。
桌面上摊着六份打印好的技术评估报告，每份对应一个被三人都标记为"值得注意"的报名者。
章卫东坐下来，没有问测试过程。
他直接翻开第一份报告，封面写着一个ID："铁马"。
报告里除了技术评估，还有方渡补写的一行手写批注。
"这个人在第三十六小时查到了服务器位置，然后停止操作，没有提交任何分析结果。他知道边界在哪里。"
章卫东看完，翻到第二份。
ID："老秦"。报告里附了一段操作日志摘要，显示该报名者使用了一套已被淘汰但仍有效的漏洞利用工具组合。
孙柏在旁边批注："这套工具只有老人才会用。他的实际经验超过十年。"
第三份ID："折叠"。
操作日志显示其在第二十七小时切换了分析路径，放弃了原有框架重写了新脚本，时间成本高出预期但最终结果更完整。
刘长山的批注只有几个字："能舍，能得。"
第四份ID："墨鱼"。操作轨迹干净、几乎没有多余步骤。
方渡的批注写着："典型的专业训练背景，不是野路子。"
第五份和第六份是孙柏挑出来的。
两个在测试全程几乎没有任何异常的报名者，他们按标准流程完成了所有任务，报告写得规范完整，但操作路径过于标准，没有任何个人风格。
孙柏的批注是。
"这两个人技术没问题，但他们不是来帮忙的，是来确认流程的。"
章卫东把六份报告合上，目光在三人脸上扫过。
"你们总共，就挑了这几个人？"
方渡停了一下，回答道。
"这六号人中，三号、七号、二十号，应该是我们以前认识的人。"
刘长山接话，补充道。
"三号是'老秦'，七号是'折叠'，二十号是'铁马'。
他们换过身份，改过ID，但工具习惯瞒不了人。
三号用的那套库调用方式，只有圈子里少数几个人在用。"
章卫东问："他们认得出你们吗？"
方渡沉默了两三秒。
"如果他们还记得那套工具，大概会猜出题人是监狱里的人。但不会知道具体是谁。"
孙柏接着补充道。
"十五号的'墨鱼'。他的操作轨迹非常干净，但干净到了标准化的程度。
应该是受过系统训练，不是自学出来的。
系统训练只可能来自两种地方：正规机构或者被正规机构清理过的人。
他可能是前者，也可能是后者。"
章卫东听完，没有立刻回应。
"六个人，先全部放入顶级交流预备名单里。
六个人对追查来说有点多，对交流来说又有点少。
我需要根据需要讨论一下，你们再推荐一批六人，备用。"
(https://www.balshuzhal.cc/ibook/47808/47808721/65134042.html)
1秒记住百书斋：www.balshuzhal.cc。手机版阅读网址：wap.balshuzhal.cc