Question

黑客到底比普通程序员高在哪里？

Answer 1

假设老板今天给了我们一个任务，让我们判断一个IP是否在线。我们可以用Python编写ping IP代码importost=input（'请输入要检测的IP:'）result=os.popen（'ping-C 1-t1%s'%（主机））。Read（）如果'ttl'inresult:Print（'Ip online'）否则：Print（'Ip offline'）。

现在，作为一个代码审阅者，您不会考虑代码的总体结构，也不会考虑编写此代码的程序员为什么使用Ping或Popen。你觉得有什么问题吗？如果没有，请考虑两个问题：波本的本质是什么？如果您不知道或没有使用过Popen，请不要查找它并猜测此函数的用。在这个程序中，Popen要执行的命令是什么？既然 popen 后面执行的语句中的 host 变量是由用户输入的，那恶意用户是不是可以输入一个localhost && whoami 呢？这样 popen 执行的代码就变成了 ping -c 1 -t 1 localhost && whoami。注意，就算上述例子中没有将运行结果直接打印出来，但没打印出来并不代表代码没有运行。例如如果我直接输入 host 为 localhost && whoami的话，输出结果还是 IP 存在, 但这并不代表 whoami 命令没有运行，我们依旧可以建立一个 Reverse Shell。为了验证结果，我们在代码里面让 result 被打印出来。

这种技术称为命令注入。如果普通程序员没有遇到这种问题，他们就不会碰这种技术。当他们看到上面的漏洞代码时，他们会觉得没有问题。他们至多认为这有点不愉快，但能反映出第一时间安全漏洞的少数人是少数。这听起来像是一种简单的技术，比反向和动力提升简单得多。但这项技术很有创意，有低下限和高上限。例如，我们现在知道上面的问题存在，所以在输入阶段中过滤一些关键字是可以的。在这个问题中，我们希望用户输入一个IP地址，所以我们需要直接过滤掉空间。普通IP地址中没有空格。

我认为它在脆弱性敏感度和创造力方面都很强。在CVE、黑客论坛等场所提高脆弱性敏感度需要花费大量时间，而创造力只有靠天赋和运气才能提高。你可能认为有很多方法可以避免这个例子。首先，我承认这个例子是一个暂时的例子，这是不好的，但请注意，我的例子是非常简单和不成熟的。在现实的红蓝战场上，以SQL注入为例，经过这么多年，我们能完全避免它吗？我记得今年年初黑网曝光的收藏数据库，1000克各种注入数据库，涉及世界各地的各种论坛，甚至包括一些银行、一些人口办公室和一些政府机构。代码思想是有限的，创造力是无限的。

Answer 2

这是个非常奇怪的问题，可能提出这个问题就不是非常了解黑客和程序员这两个职业，其实我更喜欢称黑客为网络安全工作者，虽然都是码代码的，但是其工作的目的性完全不同，作为一个程序猿，你的产品是面向大众，所以他们追求的是程序的实用性，稳定性，以及重复性，他们最宝贵的不是他们的技术，而是创意，一个软件程序的创意，好的程序员有很多，但好的想法和创意就很少，只要有了创意，有大把的程序员可以写出好程序。而所谓的黑客他们更加注重自身的技术，即使是创造，他们创造的也是一些算法，而且由于网络安全的逐渐完善，正真能够创造出新东西的黑客越来越少，他们多半就职于一些大型网络企业，或者国家部门当中，那些人我们则称为网络安全专家，黑客的创造与程序员的创意本质的差别就是，黑客更趋近于计算上，而程序员更贴近于生活，一个好的软件，好的游戏，不是简简单单一个段程序，一个人就可以完成的，一个优秀贴图师和建模师，他们不一定需要知道他们用的软件的底层代码是什么，但是他们一定在美术，色彩等方面有着极深的造诣。所以说拿黑客和程序员直接比较，是非常欠妥的。一个好的程序员不一定是一名优秀的黑客，一名好的黑客也不一定是一个出色的程序员。程序员为我们描绘出了一个丰富多彩的虚拟世界，让我们享受到了更加舒适便利的生活。而网络公司工作者们为这个美丽的世界制定了秩序与规则，让我们支付宝里的钱不会无缘无故的消失。职业无贵贱，如果硬要说黑客比程序员多了些什么，那么可能就是他们更加默默无闻，更加神秘吧。

Answer 3

可能是因为黑客他们并不是什么正当的职业所以说他们做起事情来可能会比他们更加的厉害一些。

Answer 4

黑客他在很多方面比程序员懂得的更加的多，更加的深入

Answer 5

其实不论是黑客还是普通的程序员，他们都是非常厉害的，没有高低之分。