🌱
Hi，各位
zhefox第一次见到Lucas，是在西湖论剑的活动上。当时，Lucas作为演讲者，身姿挺拔，瘦瘦高高，站在台上演讲。或许是因为演讲时的专注，他表情严肃，给zhefox留下了一种不太好接触的初印象。
然而，命运总喜欢在不经意间安排一些巧妙的转折。
Lucas成为了zhefox的入职导师。而后，zhefox发现自己的导师竟和自己的最初印象完全不一样——他专业、有趣且热爱生活。
平日里，Lucas会向他们分享生活小技巧，像是如何高效地整理工作安排；在出差时怎么快速适应不同的环境；还会分享生活中的奇闻轶事，如邻居家调皮的宠物狗又干了什么趣事；网上又有什么新奇的段子......
而工作上，Lucas在Windows在野0day狩猎领域做到了国际领先，还凭借相关研究登上了国际顶级安全技术会议blackhat。今年，他再次带着团队登上blackhat会议。
如此反差的背后，他的故事究竟如何？
✈️
“我的团队登上黑帽子大会”
2024年4月，新加坡。
Lucas团队里的两位00后成员参加了Blackhat Asia会议。这是他们第一次站在国际舞台上，正以《A Glimpse Into The Protocol: Fuzz Windows RDP Client For Fun And Profit》为主题，向与会者展示了他们对Windows远程桌面协议的最新研究成果。
会议上，他们的表现得到了热烈的反响，吸引了国内外众多行业专家的关注。
而这是Lucas登上Blackhat 会议的两年后。
团队成员登上 Blackhat Asia
时间回到2023年7月，Lucas团队接到了一个前沿性的研究任务：开辟网络协议安全漏洞的研究。他们选择了一个看似固定但充满可能性的方向——Windows的RDP（远程桌面协议）。
Lucas带领着团队四人，信心满满地开始了这场艰难的战斗。
起初，他们并不清楚如何着手。于是决定先将可能的研究方向列出来，并分配给每个人，再用思维导图来追踪每个人的工作进展，他们会每天更新思维导图，标记出哪些方向有进展，哪里遇到了困难,Lucas就会协助解决。
“在长达一个月的时间里，我们几乎没有任何收获，发现的漏洞也都是别人已经发现过的。”Lucas说道。挖掘漏洞的过程往往都是如此，不断地在惊喜和失望中反复。
一直到九月份，两个月的时间里，他们都一无所获，这段日子里，每一分每一秒都仿佛被拉长了一般，但他们并没有气馁，依旧每隔几天聚在一起讨论，分享最新的进展和新奇独特的想法。
Lucas和团队成员
终于，10月份项目有了些进展。在一次会议上，Lucas提出了一个新的思路，建议大家重新审视之前的研究方向，特别是针对RDP协议的某些特定字段进行深入分析，可能会成为大家的破局点。
在接下来的几天时间里，团队成员们各自负责不同的部分。他们或是埋首于电脑屏幕前，盯着一行行跳动的代码，反复进行着各种操作。或是在一次次你来我往的思想碰撞中，让不同的观点相互交织、融合，新的思路也在不断地涌现。
最终，他们发现了一个重要的安全漏洞——一个可以被攻击者利用的身份验证绕过漏洞。这个漏洞的存在，意味着攻击者可以在不被授权的情况下，远程访问用户的计算机，进行任何操作。（相关漏洞已提交给微软，目前已修复。）
为了验证这个漏洞的可行性，团队进行了多次模拟攻击，确保漏洞的确存在并能够被利用，通过详细的测试和数据收集，他们成功地验证了这个漏洞的严重性和潜在影响。
这个发现不仅让团队感到无比兴奋，也为后续的研究提供了新的方向。他们将研究成果整理成论文，并提交到black hat会议上。经过几个月的等待，终于收到了成功入选的消息。
“看着他们在讲台上演讲，和平日里完全两样，很不一样。”Lucas调侃着，过了一会又说道，“能在自己热爱的领域，被认可，真好。”
“我眼中的挖漏洞”
Lucas喜欢挖漏洞，可以说他热爱、享受其中。在挖漏洞这一领域，他已经持续做了8年。
“挖漏洞的过程是枯燥的，很难坚持。尤其是你已经花费大量时间、精力，甚至钻到屏幕里，却没有发现任何漏洞的时候。”Lucas说。
但Lucas团队伙伴告诉我，在挖漏洞方面，Lucas是不会说放弃的。
在充满逻辑的代码迷海中，Lucas想堵住逻辑的缺口。“我知道，即便是最新的电脑系统，也难逃各种攻击手法的威胁。”这些漏洞往往是厂商未曾察觉，被攻击者利用，造成严重的网络安全事件。
随后，Lucas向我说起了他的另一个故事。
Lucas 在Black hat演讲中
“这个故事得从2020年底说起，”Lucas开始回忆，“公司有一个负责高级威胁分析的实验室，有时也会取证得到一些颇具研究价值的恶意样本。”
有天，实验室的领导拿到一个样本，经过分析，觉得样本里可能存在漏洞，甚至可能涉及0day行为。于是，样本作为研究内容，交到了Lucas的手里。
Lucas说：“我们很快界定出了漏洞的影响范围，巧的是，它刚好和我的技术路线平行，于是它纳入了我的研究中。”
整理历史案例的过程中，他决定采用一种新方法来分析样本，总结出了许多不同维度的特征，又将这些特征转化为能够实际应用的静态规则。他解释道，“这样，我们就能更有效地识别和防御潜在的威胁。”
实际上这个过程是极其繁琐的，Lucas就像是在沙海中淘金，需要从数以百万计的样本中筛选出真正有价值的漏洞，还需要极高的耐心和精准的眼光。同时，要尽量减少漏报和误报。这就需要他不断地调整和优化规则，以确保既不会迷失方向，也不会错过真正的金子。
这个过程需要长达几个月的时间来调整模型和参数，直到达到完美的平衡点。
通过几个月的努力，他逐渐掌握了一些有效的方法，比如基于热点事件的快速响应和对新兴漏洞的及时捕捉和提前设定防护，把被动转换为主动。
最终Lucas就是凭借这次的研究成果《Windows本地提权在野0day狩猎之旅》，登上了国际顶级安全技术会议Black hat USA。
“我做漏洞研究就是这样，看似枯燥，又充满乐趣。”Lucas说道。
会议上的Lucas
在Lucas眼中，做漏洞研究不难，就像是攀登完一座山后，再出发去挑战另一座山，他总能在杂草中，找到山路，登上山顶。但做研究从来不是一蹴而就。实际上，单单他对在野0day的研究就投入了八年的时间。
专业的背后是对热爱的坚持。
🔚
往期回顾
02 |
03 |
