2022年年终回顾
2022年过去了,我很怀念他。
2022年年终回顾
前言
依稀记得有一种计算年龄的方式:出生开始是1岁,而后并非在生日而是元旦一天给自己的岁数自增一岁。开始时很怀疑这种计算方式的科学性,稍微大一点才想明白,岁数本身就不是科学的表象,只是目标对象是自己的认可机制。在以前,按照虚岁计算,若是满了二十岁,家族内的人可以兴高采烈地为你办成年礼;在现代法庭上,按照周岁计算,你到了十八岁,法官就可以毫无心理负担地将你送进监狱。不同的认知主体、不同的认知目的,自然对岁数有着不同的理解,但是无论如何都不是岁数这东西听上去如何就对了。
接着就会有点好奇为什么是元旦来进行神圣的岁数自增仪式。其实就我听说过的事例来讲,大年初一给自己加一岁的倒也有,但是理念上并无差别,都认为元旦或新年代表了一种旧去新来,似乎理所当然要给自己也添点什么。能采办年货的添点货品,封建思想比较浓的添点族人,如果什么都添不了就至少添点年龄。当然这也不是值得批判的大事,比较“代表了人民群众对美好未来生活的向往”嘛。
更何况,在环境中生长生活,我个人也受到了这种思想的一定影响,不过稍微不那么劳民伤财、也比岁数增加多了些虚伪的意义————新年到来之前整出一篇年度总结,最好放到博客上面去,看看我已经退化回前初中水平的文笔能写出什么样的文字。
专业知识
拜今年二月的四川大学网络安全挑战赛所赐,我在两个月内基本把2019年半吊子的算法能力恢复了;坏消息就是两个月内也把网络安全,尤其是测验中明确没有的PWN也给扔了个大半。6月份初高考完,末出成绩,侥幸过了一本线,于是在暑假期间想着好好做一做技术复健。然而其实暑假也就做了两件事,一件还不知道能不能称得上技术相关。这件似乎和技术无关的就是去做培训。
8月份的时候花爷发了个招讲师的广告,我就和他聊了几句,马上一拍即合。这个是某省省税务局的一个信息安全岗的培训,地点的该省税务学校,也就是省税务系统党校。但是花爷也是中间商,于是联系上另外一位师傅,开始和其他讲师一起安排课程时间。本来只作为Crypto讲师讲三天,但是另外一位Misc讲师很不幸没有足够的时间,我便同时承担起了Crypto和Misc讲师的任务。协调时间后达成了课表,我是第一个,8月6日晚上抵达税务学校所在城市,8月7日入住税务学校招待所,8月8日开始讲课,讲六天,三天密码三天杂项。
在最后去之前有一个小风波,组织课程的师傅表示在我到之后甲方会和我聊聊要怎么讲课————据说是因为甲方看到我身份证号上显示我只有十六岁,还以为找讲师的师傅在糊弄他,听说导致最后承担培训项目的360人那边的人都为我担保。
不得不承认,在税校讲课的这几天我过得确实挺累:上午讲三个小时下午讲三个小时,晚上还要改课件批改作业。另一方面就是,我确实得到到了一些东西:自己的技术水平在教别人的时候有了进步,和一些学员保持了联系可能成为未来的伏笔,六天的报酬加八天的食宿… 不过更重要的是,这是一次非常独特的体验:和一群年龄普遍是我两倍的的欧吉桑们打交道,还是在政府这样一个场合,还是以师生的关系打交道。这种矛盾会催促人产生新的思想。我了解了一群和我生活轨迹几乎截然不同却又同样热爱技术的人;我有了一个接近了体制内生活、体制内思想的机会,但又可以保证不接受它;我打破了一堆关于体制内的成见,但是我看到的事实又让我加强了另外一些。
Tiger1218/摄于某税校内部
14日我就结束课程了,因为种种原因又在税校停留了一天才离开这座城市。
剩下的就是偏技术的一部分了。今年高考刚出成绩西电张教授就给我推荐了腾讯那边的一个“星火少年计划”。我以“让我看看腾讯这种大企业又会给我整出什么花活.jpg”的心态去看了看报名页面,发现这个项目意外地正常;而等我回长沙后,反倒是张教授不怎么理解这个计划了。
于是就开始跟着腾讯那边节奏一起学习。先是和rat一起刷了半个月的pwn.college,然后和老K一起从长沙坐高铁到深圳去参加线下的活动。
来到深圳后我才是真的大开眼界了:第一天任务目标是分别逆向三个计算器(Windows7 Calculator, GNOME Calculator和Windows10 UWP Calculator)使他们可以输出
第二天目标是在Tenda 18AC这一款(漏洞百出的)路由器中找出多个漏洞。先把固件dump出来,然后凭借分析路由器的经验找到一些后台RCE,最后和rat一起(其实主要是他在做工作)整了一个黑箱式的前台RCE出来。
因为第二天晚上的一些私人原因,第三天我都挺心不在焉的。第三天的主题是自动化漏洞挖掘。我记得rat是选择了IDAPython来作为自动化的基础;另外一组是采用了joern来进行一个source2sink的分析。
第四天上午是报告:出于我第二天所做的工作并不独特和我第三天几乎整天都在摸鱼,我决定在下午的报告之前整出一个ARM PWN的representation出来。然后上午就在狂赶进度,虽然最终只做到了crash的效果,但是凭着对于Linux PWN的一些基础知识,还是做了一个我个人对自己还算满意的报告。
Tiger1218/离开深圳。
在暑假之后,就是开学,然后进入尊贵的四川大学网络空间安全学院。在1024之前我主要在写原本可以参加GeekPwn的自动化MITM漏洞挖掘系统。写了一堆东西之后才发现自己就是“Python缝合专家”。于是这一年剩下的技术时间,有相当一部分用来学习如何写工程性的Python代码,读The Hacking Guide to Python了。之前在写代码的时候仅仅是注意到需要有工程性的代码。但是关于低耦合、高封装、单元测试、版本管理、工作流等等等等都不大清楚。感谢Atum师傅对我的拷打。
这三篇文章就是我这方面主要的工作成果:PEP8: Python代码风格指南、Python:高手之路 - Notes和Pro-Git-Notes。
11月中旬我干的事情主要是打SCUCTF新生赛,可惜最因为几个失误,以96.74分之差落后于某支大三降转大二的学生战队。最后只拿到了第二名。好在只有新生有奖品,于是还是一等奖,还是有两千元。
从12号打到18号。感恩两位队友@yinglilikz, @cyfabc123,让我的压力减少了许多。
这场比赛我的记录位于2022SCUCTF题解。
同时我还在准备大学生创新创业训练计划。作为组长我申报了课题“基于 CodeQL 的自动化源代码漏洞挖掘工具”,写了申报书,并且准备了答辩PPT。申报时间和CTF比赛撞车撞得一塌糊涂。