程序员应该像黑客一样思考的原因

编程有五个主要步骤：问题的识别和定义（需求分析），问题解决方案计划（方案编制），程序的编码（代码实现），测试和文档编制。这一细致的过程，需经过所有基本要点方能完成。在这个过程的方方面面，必须考虑到安全性。在提出解决方案并编写代码时，需要始终确保安全性。

安全渗透人员的利器Kali

在国外网站上看到一篇文章，提到程序员应该像黑客一样思考的原因，颇感有趣也正契合我内心之所思，虽然各种观点不见得是多新颖，但是安全这个问题是常读常新，意识需要时刻加强的，也就班门弄斧一下，搬过来一起看看。

网络攻击正变得越来越普遍，这是一个趋势，可想而知在可预见的未来不太可能改变。随着个人，企业，组织和政府越来越依赖现代信息技术，网络犯罪预计只会增加，不可能减少。

当今社会的人们所做的事情几乎都涉及互联网，时刻接触计算机、应用程序。对于程序员而言，考虑制作应用程序或软件的安全性，是再合乎逻辑不过的事情。程序员仅仅实现功能，显然是不够的，毕竟软件使用者选择软件过程中，越来越多的意识到软件的安全性对他们有多重要。

网络攻击具有毁灭性后果，从身份盗用到成千上万的数字资产或企业失去机会。此外，还有合规性巨额处罚，例如文章里就举例说了，今年早些时候，英国航空公司因不满足合规性要求，遭受1.83亿英镑巨额罚款。

信息安全金三角

当程序员像黑客一样思考时，对于软件的安全性将大有裨益！然而，开发人员在获得计算机科学大学学位或通过在线培训课程学习时，很少接受太多安全培训，这点在我们做网络安全等级保护测评过程中，监测的应用程序或设备是，发现很多应用程序或设备，在设计之初就没考虑到安全性，没有提供相应的安全策略实现方式，缺少相应的功能模块。

随着我国信息化发展，国家层面提到网络安全和信息化是一体之两翼，驱动之双轮。企业也意识到拥有有效的安全策略和训练有素的员工的重要性，但仍局限在将大部分精力和金钱用于增加单独的网络安全防御层或从网络攻击中恢复的工作中。

开发团队最佳实践之一就是需要通过了解黑客如何利用漏洞，学习最佳的安全编码实践。不仅有益于编程过程的最终输出，而且有益于软件开发人员的热情和效率。

为什么程序员应该采用黑客的思维方式，我们摘录如下：

1.无与伦比的韧性

黑客在击败安全系统方面大多是自学成才的专家。他们是那些有着非凡耐心的一群人，是不断尝试尽可能地打破阻碍他们做或得到某事的障碍的人。

当涉及到他们使用的大多数技术时，他们并不总是依靠正规的教育，而是独辟蹊径。黑客是顽强的。通常，他们自己学习一切。他们不依靠其他人向他们提供新的知识，而是喜欢以DIY的方式弄清楚事物。如果有他们不了解或了解不了的东西，会竭尽所能学习。

黑客可能不一定艰难崎岖之路，但正规教育中的内容太少，他们不得不以某种方式走更艰难崎岖之路。他们可能想尝试或做的事情涉嫌违法，并且被遵纪守法的社区程序员反对。

工控安全模型来自checkpoint

2.实践重于阅读和传统学习

对于黑客来说，始终要有动力实践尝试许多事情以实现其目标，这一点非常要。他们所学甚多，但非都源自书籍或讲座。更多的是实践经验中积累新知识。实践与阅读或参加讲座相比，斩获更多。正如那样埃德加·戴尔（美国学者）的经验所表明的，人们的学习，从讲座中获得知识的5％，从阅读获得大约10％的知识，约75％的知识来自实践或兴趣。

3.预期潜在的安全漏洞

黑客一直认为打破网络攻击防御的刻板印象并非完全错误。他们奇思妙想，让人感觉天生叛逆，喜欢利用薄弱的环节，破坏已建立的保护体系。若程序员能够与黑客换位思考，会更加关注编程实现过程无意中创建的安全漏洞。

站在黑客的视角思考的程序员会自动考虑如何绕过安全协议或利用应用程序中的漏洞。那么就能够知己知彼，提前预防或加固所创造的程序。

4.创造性思维和打破常规的意愿

在信息安全领域没人否认黑客绝对具有创造力和机智。他们不走寻常路，以创新和非传统的方式保持组织。他们新思泉涌，不断实现自己的目标。他们不畏困难，屡败屡战，内在的坚韧性促使他们不断前进。当然，这里不是鼓励程序员肆无忌惮的去违反法律或采用黑客的方法。关键是，程序员不为经验所支配，思考更多，不完全依赖于从学校或传统书籍中学到的知识，做的更好，做到未雨绸缪。黑客也非都是违法乱纪，当今世界很多黑客通过不同方式，在找漏洞帮助软件生产商加固系统。

5.开心

仅将编程视为工作时，编程亦非易事。只想按照里程碑或截止日期完成程序时，可能压力巨大，日久生厌。黑客攻击，或许可以是调动你热情和兴奋的催化剂。黑客不设时限时刻可能入侵，随机而动，总能看到机会。

结论

以黑客技术为非作歹当然不是榜样，理应为人唾弃。我们也知道文章并不是要美化坏人，另外利器无善恶，善恶的只是人心，以正心握利器行正道，善莫大焉！此文目的，只是为程序员建设安全的产品提供一种思考方式，以便开发更安全的应用程序，使之更具防御能力。

---

做等保的人需要理解标识与鉴别的基本概念

做等保的人需要理解最小特权管理基本思想

信息安全人员的渗透利器Kali Linux 2019.4发行

2019年十月份恶意软件之“十恶不赦”排行榜

原文始发于微信公众号（河南等级保护测评）：程序员应该像黑客一样思考的原因