第 569 章 民間高手與在押高手的交手
五天後，針對報名的高級交流的民間技術人員，國安聯合網絡安全協會，進行一個交流資質初步能力評定。
而在後台出題的則是小湯山監獄中的方渡、孫柏、以及劉長山，名目是技術能力等級評定。
於是報名參加高級交流論壇的五十多人與小湯山監獄裡的前輩們開始了隔著網線過招。
測試開始的信號是一封郵件。
發送時間統一標為上午九時整，收件人是所有通過高級交流初篩的五十三人。
郵件內容極短，沒有抬頭沒有落款，只有一行連結和一個倒計時——七十二小時。
附件是一份"技術能力等級評定須知"，措辭規範，落款是省網絡技術協會，蓋著公章。
五十三人陸續點開連結，屏幕上彈出一個極簡的操作界面，沒有歡迎語，沒有說明文檔，只有三行字。
"任務將在二十四小時後開始。請自行準備運行環境。建議使用獨立虛擬機。"
沒有人知道出題方是誰，也沒有人知道任務是什麼。
但報名者中有不少人注意到一個細節。
連結跳轉後的IP段，顯示伺服器位於京州郊區的某個特殊區域。
而那個區域在地圖上的標註是行政單位，不在商業數據中心名錄里。
有人查了一下，沒說話，退出了查詢界面。
二十四個小時後，任務準時下發。
五十三份加密數據包被推送到每個人的操作界面。
解壓後，裡面包含一組經過脫敏的、模擬網絡攻擊的日誌片段、一段被截斷的數據流、以及一組看似無關的元數據散列值。
任務要求是：根據這些片段，還原攻擊路徑，識別攻擊源的特徵，並用不超過兩頁的技術報告說明你的分析依據和方法。
這不是一道理論題。
做過類似工作的人，看到數據包結構的那一刻就明白了。
這是真實攻擊案例的脫敏版本，每一行日誌都是真的，只是替換了時間戳和地理位置標識。
那些數據流里夾帶著真實協議的細微特徵，那些散列值背後藏著可以追溯的格式規律。
它不考知識點，考的是"你有沒有碰過真東西"。
五十三個窗口，同時在各自的操作界面亮起。
有人在讀日誌，有人在解包，有人直接開始寫分析腳本。
而在伺服器另一端，方渡、劉長山、孫柏以及五名國安技術人員坐在兩排顯示器前，屏幕上同時顯示著五十三台虛擬機的實時操作畫面。
方渡負責監控網絡溯源方向，他面前的三塊屏幕分別展示著報名者的操作日誌、分析腳本的實時輸出和每台虛擬機的進程列表。
劉長山負責程序改寫和漏洞利用方向，他的關注點集中在那些試圖通過非常規方式訪問數據結構的操作。
能在前半小時內找到隱藏入口的，說明思路靈活且有實戰經驗。
孫柏負責系統架構和多層關聯方向，他在觀察的是報名者如何將碎片化的元數據重新拼合成一條完整的邏輯鏈。
【記住本站域名🆃🆆看書網→🆂🅷🆄.🆃🆆】
這不是知識點考核，是行為觀察。
操作習慣、工具使用偏好、遇到卡頓時的變通方法。
技術報告寫什麼不重要，他們在測試過程中怎麼決策，才是真正被記錄下來的東西。
第一小時過去了。
三十七人已經開始提交初步分析框架，八人還在讀日誌，五人已經開始了第二輪的交叉驗證。
還有三人直接跳過了日誌分析，開始從元數據散列值入手反推攻擊源的特徵。
方渡的屏幕上，報名者的操作軌跡同步滾動著。
"這個人的操作習慣很熟。"
方渡開口，聲音不大，但劉長山和孫柏都聽到了。
他指著一個窗口，ID叫"老秦"的操作者正在用一套特定的工具鏈進行流量分析。
工具調用順序和參數配置方式，和他以前認識的一個民間安全研究員完全一致。
"老秦"在以前方渡所在的交流群里說過話，但方渡不知道他真實是誰，但工具鏈的習慣不會說謊。
劉長山湊過來看了一眼，認出了那個操作者用的第三方庫調用方式。
"這人以前在漏洞挖掘平台排名很靠前，後來突然不出現了。
我還以為是金盆洗手了。現在看，是換了個身份在活動。"
孫柏沒有說話，但他在自己的屏幕上標記了兩個ID。
這兩個人的數據處理邏輯高度一致，像是同一個師傅教出來的，而且他們都沒有在備註里留下任何暗示性語句。
事出反常，沉默本身也是一種信息。
測試持續到第三十六小時時，出現了第一次異常操作。
一個ID叫"鐵馬"的報名者，在分析過程中突然轉向，不再處理給定的數據包，而是開始反向掃描伺服器的外部埠。
他查到了伺服器的大致地理位置，然後停止了所有操作，在技術報告裡只寫了一行字。
"伺服器在京州郊區，方向偏西，大約三十公里。"
這份報告提交後，"鐵馬"的測試進程終止。他沒有再提交任何分析內容。
方渡看到這份報告時，沉默了一會兒，然後說了一句。
"他是故意停下來的。他知道伺服器在哪，也肯定知道那地方意味著什麼，所以不再往下查。不是查不到，是查到了也不會說。"
劉長山回了一句："這人不是來考試的，是來確認的。"
最終有效提交技術報告的人有四十三份。
方渡、孫柏、劉長山用了四個小時逐一審閱，不僅看結果，更看過程。
每個人在測試中繞過哪些陷阱、用了多少時間切換到第二方案、是否有冗餘操作。
技術報告的結論正確與否只占三成權重，其餘七成來自操作過程本身所暴露的思維方式和行為習慣。
第六天上午，章衛東來到小湯山監獄。
還是二樓那間小會議室，方渡、劉長山、孫柏三人已經坐在桌對面。
桌面上攤著六份列印好的技術評估報告，每份對應一個被三人都標記為"值得注意"的報名者。
章衛東坐下來，沒有問測試過程。
他直接翻開第一份報告，封面寫著一個ID："鐵馬"。
報告裡除了技術評估，還有方渡補寫的一行手寫批註。
"這個人在第三十六小時查到了伺服器位置，然後停止操作，沒有提交任何分析結果。他知道邊界在哪裡。"
章衛東看完，翻到第二份。
ID："老秦"。報告裡附了一段操作日誌摘要，顯示該報名者使用了一套已被淘汰但仍有效的漏洞利用工具組合。
孫柏在旁邊批註："這套工具只有老人才會用。他的實際經驗超過十年。"
第三份ID："摺疊"。
操作日誌顯示其在第二十七小時切換了分析路徑，放棄了原有框架重寫了新腳本，時間成本高出預期但最終結果更完整。
劉長山的批註只有幾個字："能舍，能得。"
第四份ID："墨魚"。操作軌跡乾淨、幾乎沒有多餘步驟。
方渡的批註寫著："典型的專業訓練背景，不是野路子。"
第五份和第六份是孫柏挑出來的。
兩個在測試全程幾乎沒有任何異常的報名者，他們按標準流程完成了所有任務，報告寫得規範完整，但操作路徑過於標準，沒有任何個人風格。
孫柏的批註是。
"這兩個人技術沒問題，但他們不是來幫忙的，是來確認流程的。"
章衛東把六份報告合上，目光在三人臉上掃過。
"你們總共，就挑了這幾個人？"
方渡停了一下，回答道。
"這六號人中，三號、七號、二十號，應該是我們以前認識的人。"
劉長山接話，補充道。
"三號是'老秦'，七號是'摺疊'，二十號是'鐵馬'。
他們換過身份，改過ID，但工具習慣瞞不了人。
三號用的那套庫調用方式，只有圈子裡少數幾個人在用。"
章衛東問："他們認得出你們嗎？"
方渡沉默了兩三秒。
"如果他們還記得那套工具，大概會猜出題人是監獄裡的人。但不會知道具體是誰。"
孫柏接著補充道。
"十五號的'墨魚'。他的操作軌跡非常乾淨，但乾淨到了標準化的程度。
應該是受過系統訓練，不是自學出來的。
系統訓練只可能來自兩種地方：正規機構或者被正規機構清理過的人。
他可能是前者，也可能是後者。"
章衛東聽完，沒有立刻回應。
"六個人，先全部放入頂級交流預備名單里。
六個人對追查來說有點多，對交流來說又有點少。
我需要根據需要討論一下，你們再推薦一批六人，備用。"
而在後台出題的則是小湯山監獄中的方渡、孫柏、以及劉長山，名目是技術能力等級評定。
於是報名參加高級交流論壇的五十多人與小湯山監獄裡的前輩們開始了隔著網線過招。
測試開始的信號是一封郵件。
發送時間統一標為上午九時整，收件人是所有通過高級交流初篩的五十三人。
郵件內容極短，沒有抬頭沒有落款，只有一行連結和一個倒計時——七十二小時。
附件是一份"技術能力等級評定須知"，措辭規範，落款是省網絡技術協會，蓋著公章。
五十三人陸續點開連結，屏幕上彈出一個極簡的操作界面，沒有歡迎語，沒有說明文檔，只有三行字。
"任務將在二十四小時後開始。請自行準備運行環境。建議使用獨立虛擬機。"
沒有人知道出題方是誰，也沒有人知道任務是什麼。
但報名者中有不少人注意到一個細節。
連結跳轉後的IP段，顯示伺服器位於京州郊區的某個特殊區域。
而那個區域在地圖上的標註是行政單位，不在商業數據中心名錄里。
有人查了一下，沒說話，退出了查詢界面。
二十四個小時後，任務準時下發。
五十三份加密數據包被推送到每個人的操作界面。
解壓後，裡面包含一組經過脫敏的、模擬網絡攻擊的日誌片段、一段被截斷的數據流、以及一組看似無關的元數據散列值。
任務要求是：根據這些片段，還原攻擊路徑，識別攻擊源的特徵，並用不超過兩頁的技術報告說明你的分析依據和方法。
這不是一道理論題。
做過類似工作的人，看到數據包結構的那一刻就明白了。
這是真實攻擊案例的脫敏版本，每一行日誌都是真的，只是替換了時間戳和地理位置標識。
那些數據流里夾帶著真實協議的細微特徵，那些散列值背後藏著可以追溯的格式規律。
它不考知識點，考的是"你有沒有碰過真東西"。
五十三個窗口，同時在各自的操作界面亮起。
有人在讀日誌，有人在解包，有人直接開始寫分析腳本。
而在伺服器另一端，方渡、劉長山、孫柏以及五名國安技術人員坐在兩排顯示器前，屏幕上同時顯示著五十三台虛擬機的實時操作畫面。
方渡負責監控網絡溯源方向，他面前的三塊屏幕分別展示著報名者的操作日誌、分析腳本的實時輸出和每台虛擬機的進程列表。
劉長山負責程序改寫和漏洞利用方向，他的關注點集中在那些試圖通過非常規方式訪問數據結構的操作。
能在前半小時內找到隱藏入口的，說明思路靈活且有實戰經驗。
孫柏負責系統架構和多層關聯方向，他在觀察的是報名者如何將碎片化的元數據重新拼合成一條完整的邏輯鏈。
【記住本站域名🆃🆆看書網→🆂🅷🆄.🆃🆆】
這不是知識點考核，是行為觀察。
操作習慣、工具使用偏好、遇到卡頓時的變通方法。
技術報告寫什麼不重要，他們在測試過程中怎麼決策，才是真正被記錄下來的東西。
第一小時過去了。
三十七人已經開始提交初步分析框架，八人還在讀日誌，五人已經開始了第二輪的交叉驗證。
還有三人直接跳過了日誌分析，開始從元數據散列值入手反推攻擊源的特徵。
方渡的屏幕上，報名者的操作軌跡同步滾動著。
"這個人的操作習慣很熟。"
方渡開口，聲音不大，但劉長山和孫柏都聽到了。
他指著一個窗口，ID叫"老秦"的操作者正在用一套特定的工具鏈進行流量分析。
工具調用順序和參數配置方式，和他以前認識的一個民間安全研究員完全一致。
"老秦"在以前方渡所在的交流群里說過話，但方渡不知道他真實是誰，但工具鏈的習慣不會說謊。
劉長山湊過來看了一眼，認出了那個操作者用的第三方庫調用方式。
"這人以前在漏洞挖掘平台排名很靠前，後來突然不出現了。
我還以為是金盆洗手了。現在看，是換了個身份在活動。"
孫柏沒有說話，但他在自己的屏幕上標記了兩個ID。
這兩個人的數據處理邏輯高度一致，像是同一個師傅教出來的，而且他們都沒有在備註里留下任何暗示性語句。
事出反常，沉默本身也是一種信息。
測試持續到第三十六小時時，出現了第一次異常操作。
一個ID叫"鐵馬"的報名者，在分析過程中突然轉向，不再處理給定的數據包，而是開始反向掃描伺服器的外部埠。
他查到了伺服器的大致地理位置，然後停止了所有操作，在技術報告裡只寫了一行字。
"伺服器在京州郊區，方向偏西，大約三十公里。"
這份報告提交後，"鐵馬"的測試進程終止。他沒有再提交任何分析內容。
方渡看到這份報告時，沉默了一會兒，然後說了一句。
"他是故意停下來的。他知道伺服器在哪，也肯定知道那地方意味著什麼，所以不再往下查。不是查不到，是查到了也不會說。"
劉長山回了一句："這人不是來考試的，是來確認的。"
最終有效提交技術報告的人有四十三份。
方渡、孫柏、劉長山用了四個小時逐一審閱，不僅看結果，更看過程。
每個人在測試中繞過哪些陷阱、用了多少時間切換到第二方案、是否有冗餘操作。
技術報告的結論正確與否只占三成權重，其餘七成來自操作過程本身所暴露的思維方式和行為習慣。
第六天上午，章衛東來到小湯山監獄。
還是二樓那間小會議室，方渡、劉長山、孫柏三人已經坐在桌對面。
桌面上攤著六份列印好的技術評估報告，每份對應一個被三人都標記為"值得注意"的報名者。
章衛東坐下來，沒有問測試過程。
他直接翻開第一份報告，封面寫著一個ID："鐵馬"。
報告裡除了技術評估，還有方渡補寫的一行手寫批註。
"這個人在第三十六小時查到了伺服器位置，然後停止操作，沒有提交任何分析結果。他知道邊界在哪裡。"
章衛東看完，翻到第二份。
ID："老秦"。報告裡附了一段操作日誌摘要，顯示該報名者使用了一套已被淘汰但仍有效的漏洞利用工具組合。
孫柏在旁邊批註："這套工具只有老人才會用。他的實際經驗超過十年。"
第三份ID："摺疊"。
操作日誌顯示其在第二十七小時切換了分析路徑，放棄了原有框架重寫了新腳本，時間成本高出預期但最終結果更完整。
劉長山的批註只有幾個字："能舍，能得。"
第四份ID："墨魚"。操作軌跡乾淨、幾乎沒有多餘步驟。
方渡的批註寫著："典型的專業訓練背景，不是野路子。"
第五份和第六份是孫柏挑出來的。
兩個在測試全程幾乎沒有任何異常的報名者，他們按標準流程完成了所有任務，報告寫得規範完整，但操作路徑過於標準，沒有任何個人風格。
孫柏的批註是。
"這兩個人技術沒問題，但他們不是來幫忙的，是來確認流程的。"
章衛東把六份報告合上，目光在三人臉上掃過。
"你們總共，就挑了這幾個人？"
方渡停了一下，回答道。
"這六號人中，三號、七號、二十號，應該是我們以前認識的人。"
劉長山接話，補充道。
"三號是'老秦'，七號是'摺疊'，二十號是'鐵馬'。
他們換過身份，改過ID，但工具習慣瞞不了人。
三號用的那套庫調用方式，只有圈子裡少數幾個人在用。"
章衛東問："他們認得出你們嗎？"
方渡沉默了兩三秒。
"如果他們還記得那套工具，大概會猜出題人是監獄裡的人。但不會知道具體是誰。"
孫柏接著補充道。
"十五號的'墨魚'。他的操作軌跡非常乾淨，但乾淨到了標準化的程度。
應該是受過系統訓練，不是自學出來的。
系統訓練只可能來自兩種地方：正規機構或者被正規機構清理過的人。
他可能是前者，也可能是後者。"
章衛東聽完，沒有立刻回應。
"六個人，先全部放入頂級交流預備名單里。
六個人對追查來說有點多，對交流來說又有點少。
我需要根據需要討論一下，你們再推薦一批六人，備用。"