“Glacier是谁？”
“这名字好生耳熟,让我想想。”
那时,江湖还是那个江湖,现在,传说已成这个传说。
如果你不知道木马,那你根本不了解网络安全,如果你不知道“冰河”,那你根本不知道木马,如果你不知道黄鑫,那你根本不懂“冰河”。 “铁马冰河入梦来”的诗句千古传扬,这里所说的“冰河”,是中国本土远程控制程序——木马(Trojan)的鼻祖,而黄鑫,则是中国“冰河”的始作俑者,被网络江湖尊为“木马教父”。 即便“冰河”一度搅得网络世界血雨腥风翻天覆地,甚至黄鑫本人也曾因此涉事被警方带走,但黄鑫却从未用这把“屠龙宝刀”袭击过任何一台电脑。相反,他以满腹热情和所有的正能量投入到网络安全事业,加入“安全焦点”,编写了广受好评的Xscan扫描器,并与好友quack(吴鲁加)携手创业,成为中国网络安全界举足轻重的人物。 都说网络安全的世界是个江湖,黄鑫绝对当得起这江湖中豪侠仗义的名声。大学时候,黄鑫曾因为打架而遭处分,失去了获得毕业证的机会。创造木马冰河、Xscan等网络利器,也皆因激情与兴趣,全然无顾所谓的商业利益和暗黑角力。与quack一起创业十多年,任凭艰难坎坷,终不离不弃。而今,40岁的他已是跆拳道黑带三段的高手,却再未与任何人动过手。洗去锐气的黄鑫,只把人生看做一场认真的游戏:“我创业的心态就是玩,不希望玩得千辛万苦,但一定要玩得认真。” 以这样的心态,黄鑫和吴鲁加从漏风的民房起步,走上了一条充满意外的创业之路。如今,他们创立的大成天下,已经不再是一家单纯的安全公司,信息安全与互联网结合,孕育出 “小密圈”等针对移动互联网社交的APP,大侠封刃,重练新招。 木马冰河已是昨日黄花,“教父”黄鑫却还刚刚起步。
祖籍广东的黄鑫说话有着鲜明的北方口音。自幼在太原长大,又在西安电子科大上学,大学同学多是西安本地人,黄鑫说起陕西话来也是一溜一溜的。这个爱闹好玩的年轻人坦承,在大学最初一段时间里,几乎从未将学习放在心上,“考试基本都靠临阵磨枪和作弊”。 大三那年,因为打架致人重伤,黄鑫遭遇了最为严厉的处分:开除学籍。对于辛苦考上大学的他来说,这意味着求学之门已对他关闭。 仿佛当头棒喝,之前瞎玩胡闹的黄鑫忽然间懂事了不少。“不论有没有文凭,至少应该把大学期间的课程全部掌握。尽管学费没能换来学历依然愧对父母,但珍惜剩余的大学时光埋头苦学,总比毕业前连老师都认不全要令人宽慰多了。” 在黄鑫的极力恳求下,辅导员和老师终于同意让他继续学业。尽管拿不到毕业证, 课照上、作业照交、试照考、毕业设计照做。从那天起,寝室熄灯后半夜进出宿舍的学生们,就总能看到坐在门口小板凳上、就着昏黄的走廊灯光玩命苦读的黄鑫。 浪子回头金不换,到大三期末,黄鑫通过自学,完全补上了之前三年缺漏的功课,还自学了C++、汇编语言等非授课内容。而他与安全结缘,也恰在此时——他和同学凑钱买的电脑中了病毒,这是“小白”黄鑫第一次听说的“秋水病毒”。于是,黄鑫从使用KV300、KILL等杀毒软件开始,了解DOS磁盘引导区,用汇编语言自查自杀病毒。只短短几个月,黄鑫就从“菜鸟”变成了“大虾”。 练功初成,自信心爆棚,年轻人终究要去江湖上闯荡一番。黄鑫在母校附近的产业园找到一家名为“创富”的软件公司,其创始人是西电教师。听闻黄鑫还是在校学生,公司负责人连连摇头。黄鑫岂肯放弃?他说:“你们是招研发不是招摆设,需要的是能完成产品的能力而不是文凭,如果我的能力达不到要求,我服;可你们都没看过我的代码就说不要,我不服。”因为这番话,他获得了一次笔试的机会。 当时,公司正在做电力局GIS项目,其中有个恼人的逻辑Bug,负责人就让黄鑫在半小时内帮忙找出问题所在。碰巧的是,这项目使用的Delphi正好是黄鑫此前钻研了一个多月颇为熟悉的开发工具,黄鑫找到Bug解决了问题,于是,他顺理成章赢得了这次兼职的机会。 因为能力突出,黄鑫极受老板赏识。虽然没能在黄鑫学业完成时留下他,但老板还是热情举荐,把没有毕业证的黄鑫介绍到了位于深圳的中国科技开发院——在那里,他不但找到了一份好工作,还顺便完成了毕业设计。 1999年,上大四的黄鑫曾有一段难得的闲暇时光:毕业设计做完了,公司的项目也暂告完工。恰逢此时,他接触到“BO”、“NETSPY”之类的源自国外的后门程序。“一开始只是觉得好玩,一台电脑居然可以操控另一台电脑。出于好奇心理,我本能地就要去探索这东西的内在机制,原理是什么?能用来做什么?” 揭开了别人的谜底,心痒难搔,就得自己动手去制造一个更大的谜面。于是,“冰河”的雏形诞生了。 最初的版本中,“冰河”的功能不过是传传屏幕、列列目录而已,也只在宿舍同学之间流传,随着反馈越来越多,黄鑫对“冰河”快速迭代,不断增加功能。而真正让“冰河”名扬四海,还是一位同事闲聊时的一个建议:这么好玩的软件,为什么不放到各种下载站上,与更多人共享呢? 也是在那时,“冰河”终于获得了自己的名字——命名的方式其实很简单,在金山词霸里随意敲进几个字母找灵感,联想出的结果就是名字。在众多的结果中,黄鑫最终选择了“Glacier”,即“冰河”——象征这款软件将成为坚冰之下暗潮涌动的来源。似乎是一种宿命,“铁马冰河”成了“木马冰河”之后,其杀伤力以及就此惹出的江湖恩怨,是黄鑫那时候根本意识不到的。 尽管黄鑫很少挥舞自己亲手锻造的这把屠龙宝刀,但江湖中人很快发现,作为一款远程控制软件,“冰河”这把宝刀实在是威力巨大,能够轻而易举地成为攻击并控制他人电脑的木马利器。更“可怕”的是,对当时多数国外杀毒软件而言,这个中国人自主开发的木马并不在杀灭范围之内,以至于一度出现如此“盛况”:一个普通的电脑用户,只要会用“冰河”,就能很快成为遥控他人的“黑客”,这种“傻瓜式”速成特性,让“冰河”成为2001年中美黑客大战中的主力“兵器”。“冰河”威武,几成时尚,黑客们竞相追捧并传颂,甚至不少黑客在自主改写“冰河”之后,还会假托glacier之名,推出了各种所谓的新版本,只为谋求“正宗”二字。“冰河”的装机量之大,有个例子可见一斑:因为缺省设置了[email protected]这个上线通知的邮件地址,所有五花八门的所谓“冰河”版本里因此也都有了这个配置,使用者不经意间就会把邮件发往这里,结果,因为邮件数量太过巨大,21cn判断自己遭到了DDOS攻击。2000年五一长假刚结束,黄鑫被警方带走了。据他回忆,事情纯属误会:当时,21cn内部的一台服务器中了病毒——“冰河”,因为找不到罪魁祸首,警方只好找到原作者黄鑫,这让他遭遇了半个月的牢狱之灾。所幸,黄鑫最终被证明与此事无关,也未留下案底,这场意外遭遇,用他的话说:“跟军训似的。”让黄鑫比较郁闷的是,开发“冰河”纯属游戏之作,却引出如此戏剧性的结果。“从我对它投入的精力和维护的态度来看,那纯粹就是个玩具,只不过被人用作了工具,但作为工具,可以为善也可以作恶,这是我决定不了的。” 一年之后,“冰河”依然势头不减,越来越多的所谓黑客们大肆传用并惹出越来越多事来,黄鑫终于忍不住了——继早先宣布不再更新和维护“冰河”之后,他开发了一款名叫“冰河陷阱”的软件,不但可以清理电脑中的“冰河”木马,还能够伪装成被“冰河”控制的“肉鸡”来欺骗控制者。当然,它还可以让使用者和控制者直接对话,告诉他们“你已经被发现了”。黄鑫自己就曾用该软件的发信功能和控制者聊天,吃了一惊的对方问他是谁。 “我就是冰河的作者。”黄鑫笑着说,“对方被吓了一大跳。”
事实上,黄鑫最初并没有将信息安全作为自己的发展方向。在早前的工作中,他主要在做信息管理系统(MIS、GIS)的开发,只是因为对信息安全的浓厚兴趣,1999年,黄鑫加入了著名的“安全焦点”,正是在那里,他认识了Quack,也就是吴鲁加。 就在黄鑫被警方带走的前一天,他刚从厦门回到自己的家中。而在厦门,黄鑫和吴鲁加有了第一次的亲密接触。 当时,吴鲁加作为“黑”站高手,在安全圈里已经颇有名气。但现实中,他从事的是销售代理的工作,负责把音箱里的梯形铁块卖到厦门的音响工厂里。在吴鲁家狭小的办公室兼卧室里,两人一见如故,喝酒畅谈。到了晚上,吴鲁加把沙发让给黄鑫,自己披着毯子睡在地上。深夜时黄鑫醒来,发现吴鲁加已将毯子盖在了他的身上,自己则蜷缩在一件薄薄的衬衫里。“才见第一面的朋友,能这么做,我觉得他值得深交。” 2004年,在北京的黄鑫开发出了之后获得普遍赞誉的Xscan扫描器,吴鲁加也已是启明星辰深圳区的CTO。两人时常聊天,互相吐槽自然少不了。用黄鑫的话说:“我跟吴鲁加当时所在的环境都有些不太如意的地方,很多想法都没法落实,当然这没什么可抱怨的,如果整个团队都随心所欲,那也就散了。当时我最简单的想法就是,跟吴鲁加我俩怎么那么相投?想做的事情、理念甚至性格特点,都出奇地一致。” 2004年10月,吴鲁加突然收到了十多个大箱子,正奇怪呢,黄鑫的电话紧接着就来了:“我把行李寄到你家了,我过几天就来。” 黄鑫的“突然袭击”背后并非全无打算。他也曾和吴鲁加讨论过,如果做得不好怎么办?“我们觉得,要是最后真做不好,就证明我们不是这块料,也就心服口服了,接着该干嘛干嘛,该打工打工,该在家呆着就呆着。” 要不说俩人都是性情中人,没任何犹豫,吴鲁加当即辞掉工作。这两位之前甚至都没见过几次面的男人,一人掏了一万,开始了连方向都还没有的创业之旅。黄鑫抓技术,吴鲁加管市场和销售,一家名为“大成天下”的小公司就此诞生。 创业初始,艰苦自不必说。深圳的冬天本不算寒冷,但吴鲁加的小屋四处漏风,冷得让人难以舒展手脚。黄鑫还记得,一到冬天,二位“女眷”都窝在床上号称“冬眠”,吴鲁加的工作只是点鼠标,而黄鑫,则要十指袒露敲打代码。 “天气太冷,漏风的房间室内外温度几乎一样,只能戴着皮手套打字。加上成天盯着电脑眼睛受不了,戴着墨镜看屏幕舒服点,基本上就是国产电视里黑客的样子。还好是在自己家,否则有人见了我这样,都得说这家伙怎么这么装逼。”黄鑫回忆那段时光时说。 创业之路并不顺利。当时,Xscan已经享誉业内,到2005年,Xscan已经成为一款10万行代码级的非常成熟的免费产品了。二人决定,将Xscan商业化,即后来的“游刃”扫描器。不过,尽管“游刃”所代表的“基线安全”概念,即便到今天也不落伍,但产品却并未达到预期。据吴鲁加事后分析,当时特别在意漏洞扫描的主要还是大中型客户,小型客户通常都用免费软件,“要让人一次性掏五万、十万出来,我们就得提供人工去检查、比对,而我们当时恰恰缺的就是人手。” 更重要的是,决策购买安全产品的通常是公司IT部门,扫描器却不像防火墙、杀毒软件一样能够提供一份“战绩清单”——可以让IT部门有功可表。“还有一个大问题就是,扫描器不提供解决方案,只负责扫描。所以发现漏洞之后,老板会让IT人员改,要是IT人员不会改,那对他来说还不如不发现。”2006年,公司只能靠一些咨询业务日常周转,算是勉强度日,两人遂决定下马“游刃”。恰逢此时,一个意想不到的机会出现了:某大型企业需要一个信息防泄漏的解决方案,经过层层转包,实际的开发工作落到了他们手中。 经过一番努力,项目一举成功。事后,两人意识到,大型企业的电子文档防泄漏本身就是个通用需求,又与信息安全紧密相关,是未来的方向。说干就干,两人在之前项目成果的基础上,开发推出“铁卷”电子文档安全系统,紧接着又有了“锐眼”泄密审计系统、“密信”文件防护锁等系列产品。 共同创业十多年,黄鑫和吴鲁加从没拍过桌子红过脸。“依佛法说,这叫同类相应。”黄鑫说。 在阿里组织的一次创业论坛上,有年轻的创业者问黄鑫:“为什么好多创业者一起创业,干着干着就成了仇人呢?” 黄鑫回答:“好朋友一起创业,得看好到什么程度。如果可以把两家的钱打到一个账户上,谁需要谁花,到这个程度,就可以一起创业了。”事实上,在创业的最初几年,黄鑫和吴鲁加,两家人确实共用过银行卡,密码四个人都知道。如此莫逆之交,颇有古人一诺泰山轻的风范。 黄鑫说,他脑子里一直有句话:“不管走多远,永远不要忘记出发时候的目标。” 也正因为如此,黄鑫和吴鲁加顶住了创业过程中的巨大压力,以简单的心态、坦荡的胸怀和认真的态度,做出常人眼中近乎玩笑的种种决策。在黄鑫眼里,创业也就是认真去玩,至于结果,也许没有什么能比十几年后还能肝胆相照、义薄云天更让人欣慰的了。
说起肝胆相照和义薄云天,就必须说说黄鑫身边的另一个“汉子”。 这个“汉子”是一名女士,被黄鑫戏称作“女汉子”,她就是黄鑫的结发妻子——当年也曾名冠江湖的美女黑客——娟子。 无论是在生活当中,还是在创业途中,娟子都是黄鑫最重要也是最坚实的后盾。作为四川女孩儿,娟子爽朗直率,说话做事无不透着一种干脆利落。黄鑫说她是女汉子,她自己也说:“我都怀疑自己是错投了女胎。” 黄鑫与娟子的相识,是在2000年的最后一天。那是在海南举办的一次信息安全峰会上,黄鑫是受邀嘉宾,而娟子则是会议的组织者。“那次先是飞机晚点,麻烦她单独来接我,接着又是让她帮我换房间,整个会议期间我不断带来麻烦,她却总是不厌其烦,热心对待,给我留下了很深刻的印象。”黄鑫回忆。 短短的三天过去,娟子送黄鑫去机场。一个简单的道别,二人居然用了整整一个多小时,直到登机广播屡次呼唤,黄鑫才不得不转身离开。 2001年3月,与黄鑫相识不到三个月,娟子毅然辞掉工作,从海南飞赴深圳,她要与黄鑫在一起,事实上,自此以后,他俩再没分开——无论是北京、上海还是深圳,她与黄鑫始终焦不离孟。 “我特别佩服她的一点就是,她从没问我工作怎么办,从没有任何犹豫,支持我去任何地方,做任何事情。”黄鑫说,“这也许就是夙世因缘吧。” 关于娟子的故事,我们以后会单独再表,那会是另一番精彩传奇和美丽传说。
尽管看上去并不壮硕,甚至略显瘦消,但黄鑫却是个真正的“武林高手”。 大学时,任性好斗的黄鑫曾经练过一年多的拳击,但在打斗致人受伤、让他遭受退学惩罚之后,几年里黄鑫再未接触过技击。直到2006年,已经创业的黄鑫走进了跆拳道馆。“武林高手”与“木马教父”,这两个身份算是在他身上得到了完美的融合。 经过长期不辍的训练,现在,黄鑫已经是跆拳道黑带三段,用他的话说,“升四段就要写论文了,或者是对跆拳道事业有突出贡献的,我想想还是算了吧。”对三段的跆拳道高手来说,无论是对练、搏斗,还是劈木击石,都是必修的功课。若是在香港、新加坡这些地方,跆拳道黑带三段若出手不慎,甚至会被判定为持械伤人。 尽管真的武艺在身,但对黄鑫来说,早已经过了那个可以肆意轻狂的年代。自从修习跆拳道,他从未在道馆的擂台之外对人出手。在他看来,跆拳道的修行,更多带来的是精神境界的提升——礼义廉耻、忍耐克己、百折不屈。“先要在长期的训练中承受痛苦,这对人的忍耐力有很大的帮助。此外,面对比你强或者比你弱的对手时,如何克服骄慢和畏惧,这也是修炼的一部分。” 对黄鑫而言,搏击亦教会他不逞匹夫之勇——基本功的训练与能力的获得可称为战略,而战术的成功则在于“以己之长攻彼之短,切莫一根筋走到底”:“碰到速度快的,尽量在力量上压制他;碰到力量强的,尝试在灵活性上取胜。” 几乎与练拳感悟一脉相承的,从2012年开始,黄鑫开始修习佛法。三皈五戒的他认为,自从修习佛法,自己最大的变化在于:“这个世界上再也没有什么事情能让我纠结得吃不下、睡不着了。”在他看来,佛法与“心灵鸡汤”有着根本的区别,心灵鸡汤“有效期”很短,往往还带有自欺性质,属于短效心灵麻醉剂。而佛法中的放下和看破则是如实地、原本地看透事情的本相。“初步来说,佛法对人的生活质量是有好处的,当然它并不是用来改善生活质量的,而是用来彻底解脱的。” 不知道是黄鑫的拳台体悟和佛法修行成就了他以不变应万变、淡然处之的卓然心态,还是这样的心态更促进了他对拳道和佛法的精深领悟? 无论如何,这样一位身形瘦消却眼神深邃、举手投足间给人凛然正气的豪侠之人,当得起在信息安全界的威名和传说。
在信息安全行业浸淫十多年,黄鑫自有其独到的看法:“从整体上来看,信息安全在攻防对抗、分析技术,以及黑客的思维方式上,其实并没有明显变化,就算有,幅度也不会超过10%,所谓万变不离其宗嘛。” 对于变化的方面,黄鑫则认为:“那是人的心态。在黑色产业流行之前,‘黑客们’主要以技术交流为主,连0day漏洞都会互相分享。而随着一些‘独具慧眼’的‘黑道大佬’们将目光转向网络,黑色产业逐步出现并发展,受利益驱使,很多人的心态就发生了变化。” 那对未来呢?尤其是移动互联网对信息安全发展的影响,对佛法、武道有所研究的黄鑫则给出了“平衡”二字的预测:“这是一个长期的、持续的平衡过程。最早期时,企业不重视信息安全,但也没遭受什么损失;随着这种不重视造成的损失出现并逐渐放大,企业开始认真对待安全研究和防护,产品厂商就会发展壮大;而对某类安全威胁的防护达到一定程度后,攻击者的渗透又会转到另一个方向,就跟早期病毒,从简单传播到逐渐演变出现各种变形。整个过程,其实就是一种平衡,攻击强一点,防御就会跟上,而防御跟上了,攻击就会转换方向。” 也是在这样“平衡”演变的过程中,黄鑫在信息安全上的着眼点也发生了变化:“记得我刚毕业时,研究病毒和木马,对安全的好奇心是非常浓烈的;到现在,研究了十五年了,好奇心和兴致也就淡了很多,尽管并未完全脱离安全圈,但工作的重心已经转到互联网创业上了。” 的确,谁能想象,曾经的信息安全精英——黄鑫和吴鲁加,他们所一手打造的大成天下,如今已经不再是一家单纯的信息安全公司,而是更具移动互联网特色的全新企业。 尽管各类新产品或多或少还与防泄密有关,但如今大成天下出品,主打的却是互联网社交,比如聚焦工作讨论、管理和分享的“小密圈”,具备阅后即焚属性的的“72小时”等。 “从产品类型来说,差别的确很大。以前做纯安全,不管是企业级还是个人级,都是技术思路。而互联网产品更强调产品形态、交互和体验。对我们来说,IOS和安卓系统上的APP,技术上并没有大的挑战,但在互联网toC的各种元素上,我们还在摸索。”对于创业形态的转变,黄鑫总结道。 “有没有觉得可惜?毕竟明明可以在信息安全界做个‘独孤求败’的,或者哪怕是个‘扫地僧’呢,却偏要在互联网领域空手搏杀甚至从头来过?” 面对这样的疑问,吴鲁加首先提出了自己的观点:“移动互联网创业更能让人感受到互联网世界的水温与压力,我们有安全方面的深厚底蕴,再去加强互联网方面的能力,由此打开的脑洞会是非常惊人的。一个人能拼也就这么些年,能玩也就这么些年,这样的时代孕育了这样的机遇,还管那么多干嘛?我们只把自己能做的、该做的做好就行了。”接着老伙计的话茬,黄鑫补充道:“做什么产品也许并不是第一位的,产品是否成功也不是唯一考量,而还有没有精力去打拼,还有没有方向值得去尝试,这是最重要的。” 也许,之所以黄鑫和吴鲁加还能一如既往地去尝试、创新和拼搏,还能有这样的勇气和底气,盖因其风雨同舟、不离不弃的兄弟般的团队。事实上,从游刃到铁卷,再到小密圈,十多年时间里,大成天下这个创业团队极为稳定,除了黄鑫和吴鲁加,待了八、九年的技术高手不在少数。 “现实很残酷,就跟打麻将、斗地主一样,只有一个赢家。”但修习武艺与佛法多年,黄鑫早已经超脱眼前的蝇营狗苟,而向着更简单、更纯粹的目标前行:“我的心态很简单,就是认真玩,手里有什么牌就去打好它。自家的研发人员牛逼,就相当于有王炸;可要是没有呢?总不能就此撂牌,还得玩下去呀。玩的过程其实就是一个不断变化的过程,只要认真于这个过程,就不会太纠结最终的结果了。” 时代可以变,环境可以变,选择可以变,但只要人不变,根本就不变。 某种意义上讲,黄鑫早已不是当年的“木马教父”,但所谓“夜阑卧听风吹雨,铁马冰河入梦来”,侠骨丹心的黄鑫,注定会是那个永恒的传说。
还没有评论，来说两句吧...