这是橘子杀手的第 53 篇文章
题图摄于：杭州 · 西湖

距离上一次发布文章，已经过去很久了，停更这么久的原因有很多，总结起来还是精力不足了。

其实我本来是准备在元旦发的，因为这是一篇年度总结。当时虽然有很多想说的，但是我没想好怎么写，多次打开编辑器，写了点字又删掉了，实在是没有思路。本来今天要赶高铁，早早上床休息了，不料却失眠了，但也正好有那个空闲和空间，能让我静静地想一些事情，趁着逻辑还算理顺了，在飞奔的高铁上，写下了这篇文章。

☁️ 事业

我把事业分为两大块，一个是正儿八经的工作，一个是业余时自我提升的投入——其实学习也算是为了赚更多的钱嘛。

下面是我今年相关的时间线：

09-28 Python 沙箱逃逸的通解探索之路
09-26 OrangeKiller CTF 第 3 期
08-27 网鼎杯初赛
08-11 利用 vscode 打造后门门中门
08-05 SecMap - SSTI（Tornado）
07-30 强网杯初赛
07-22 虎符杯决赛
// 25 Day
06-27 OrangeKiller CTF 第 2 期题解
06-27 OrangeKiller CTF 第 2 期
// 21 Day
06-06 SecMap - 反序列化（PyYAML）
05-30 xsleaks wiki 中文版发布
// 14 Day
05-16 SecMap - Flask
// 17 Day
04-29 SecMap - SSTI（mako）
// 16 Day
04-13 SecMap - SSTI（jinja2）
// 25 Day
03-19 虎符杯初赛
// 21 Day
02-26 SUSCTF
// 23 Day
02-03 SecMap - 反序列化（Python）
// 23 Day
01-11 利用 Cloudflare Partner 劫持域名

看上去还是有很多空隙的时间被我浪费掉了，唉，实际上我是真的没有多余的精力了。

🌧 工作

今年的工作压力其实是比较大的。今年我负责的内容扩大了很多，需要分离很多精力做其他安全项目的建设，主要是可信的建设。我们公司的安全建设思路，不仅是纵深防御，还是可信的逻辑。可信，最重要的一个做法就是白名单，不管是行为白名单也好，策略白名单也好，总之就是白名单。相比于传统的黑名单模式，这个模式的强度非常高。可以类比一下，你可以不让你的孩子做某些“坏事”，这是黑名单，但是“坏事”是列举不完的；如果是白名单呢，那就是你只允许你的孩子做某些事情，因为允许的事情是经过你评估的，所以通常是安全的。可惜，安全属于计算机领域的一个小小的分支，自然也没有银弹。白名单带来的问题也很明显，你怎么判断这个事，是“坏事”？这个是很复杂的，需要非常大量的经验，而且很容易出现误判，对于用户体验、效率以及安全的平衡是，是比较难以把握的。

一个通常的做法是看历史的情况来得出白名单，例如通过系统间的历史调用日志，来得出初步的白名单。但毕竟是“初步”，一旦发生误判，就会导致一些比较危险的稳定性问题。我今年经历过了好几次，A 系统调用 B 系统，但是 A 不在我的白名单里，原因有很多，比如是一个新的业务或者是非常低频的调用，我在日志里没观察到等等，大半夜起来应急。目前最高记录是凌晨 3 点被告警系统 call 醒，好在应急及时，没有出现问题。

如果橘友们对我们的可信纵深防御建设感兴趣，不妨了解一下我们的可信纵深防御白皮书，刚发布没多久，这个还是非常非常有学习价值的。后台发送 “网商可信纵深防御白皮书” 即可获取链接。

自从开始做可信建设，我的钉钉群就加爆了，有非常多的告警群，一开始我的精神很紧绷，每次那十来个群有群消息，我都会点进去看，生怕是自己的策略导致的；电脑不离身，除了上厕所这种实在带不了的，不管是周末，节假日，我都是背着电脑出门，有事情立马处理。我已经无数次在饭店里，在高铁上，在医院里处理工作了。渐渐的我的睡眠时间从 23 点推移到 1、2 点，原因就是有段时间这个点老有告警，我推测是有很多系统在 0 点执行当天的某些任务吧，比如 crontab 这种的，所以我索性多等一会再睡。

这只是其中的一个方面，其他的辛酸就不多说了。总之压力的确有点大。所以我没有额外的精力再去看其他的一些资料，更没有时间好好想想事情，写一些文章，周六周日也只想躺着。

好在今年的结果应该还不错，但是我们是还没谈绩效，所以今年具体是什么情况，也不得而知。大年三十晚上家人问我工作怎么样，怎么样？我也不知道怎么说，只好回答，“还可以”。

这部分目前看来，今年完成得还不错，值得一顿大餐奖励。

🌧 学习

正如上面说的那样，我不再有很多时间和精力可以让我去研究一些事情，所以文章更新也就少了。

某一天我问我对象，我这么久没更新公众号了，是不是粉丝会想我。她说你可别感动自己了，谁在乎呢。想想的确是这样，我关注了很多公众号，但是谁没更新我也不是很在意。说起来也是怪事，我本来写这个公众号的目的就是为了交流，但是微信公众号又不给我评论功能（现在新的公众号都不会有评论功能），就很奇葩；另一个目的还是想让自己的文字能有更多的人看到，不过和其他公众号类似，我的公众号也有大量的“僵尸粉”，目前是 900 多个粉丝，但是文章能有 200 个阅读量就顶破天了。

年中的时候我突发奇想，我这个号，如果开个广告能赚多少钱呢？于是我把最底下的广告开通了（底部广告这个不会影响阅读体验，做测试比较合适），我算了一下，差不多一个浏览量是 0.01 或者 0.02，如果是触发点击的话...我就不知道了，因为压根没人点过...这么算起来，假设每篇按照 200 阅读量计算（假设每个人都读到最后，看到广告了），每次浏览按照 0.02 元算，那么我只需要连续 7 天都发篇文章（普通公众号一天只能发一篇文章），就可以在公司门口吃一份猪脚饭了（笑

所以我的观念还是和以前一样，我写文章主要不是为了赚钱（但是真有钱我也赚，可惜没有，所以我现在嘴很硬）。国内互联网的环境其实并不好，但即使是这样，在我大学期间，很多前辈们的文章帮了我很多很多，他们是我的无名之师，我的专业知识很大一部分都是网上看来的。所以我想，这份传承在我这不能断，希望我的文章也能够像他们一样，给别人解答疑问，帮助别人学习。至于后人会不会继续传承这份精神呢？随他们去吧，我又管不了，总之我们先做好自己嘛。

而且我本身也不喜欢宣传自己公众号，所以自然粉丝和阅读量增长地都比较缓慢。听上去很奇怪，号主自己都不宣传。原因是我感觉我的一些经验还是不太够，可能会误导一些人吧，所以我就一切随缘了。这么看，橘友们能发现我这个公众号，显然是需要一些本事的，虽然好像关注了也不一定能学到什么（笑

挺好的，我们还是继续随缘吧，有得说我就发，没得说也就不打扰大家了。这部分今年完成得还不错，随队参加的比赛结果也还可以，都进决赛了而且名次也比较靠前。工作压力很大还能抽时间学点东西，发一些文章出来，很不容易了，值得一顿大餐鼓励。

☁️ 生活

今年上半年，我的时间基本上都给了工作，忽略了好好生活，好好关心家人，对此我的对象相当有意见，她觉得那个时候的我不是工作狂就是在变成工作狂的路上。但是在上半年我觉得这简直就是胡言乱语。在下半年我终于意识到了这个问题，偶尔也会放空一下发发呆，通过一些方式缓解了。但是平衡事业和生活谈何容易呢，得到一些东西，总是意味着失去一些东西。处理人际关系，特别是亲密关系的人际关系，我感觉对我来说是有点难的。我爸妈对我完全是散养的，而且其实只管我的物质生活，对于精神世界基本上是没有怎么关注过的，小时候自由惯了，万事不求人，长大后也不太能关心别人，因为那些都是我自己做的，我会觉得其他人也一样自己消化了。

我时常在想，大家总说这个人事业有成，赚了很多钱，很成功，却少有人说这个人家庭美满，过的轻松自在，很成功。那我的标准是什么呢？我也不知道，的确没想清楚。这个可没有技术博客可以看（笑

其他的就是摄影了，今年拍了不少好看的照片，抽了一些供各位点评

感觉自己的水平的确也有在提升，虽然这个并不是我拍摄的目的。我对于摄影，其实不太喜欢去学习一些知识，毕竟是爱好嘛，就是遵从内心，我觉得怎么舒服就怎么来。拿着相机，我总会感觉到平和，可能是终于找到了一个不用和别人争个高低的事情了吧。

这部分总得来说就是完成得一般般。庆幸的是，发现了很多问题，才让我有机会能够改正这些问题，走得慢总比没走要强，慢慢来。

为此我非常感谢我的对象，在生活上她教会了我很多。回想起我们之间的经历，能够在一起的确需要些运气。难怪我彩票总是中不了，原来是已经中过了（笑

☁️ 碎碎念

今年过年回家最大的感受是觉得自己没以前能吃苦了。我在父母的摊位上一起照看了一天，他们非常累，凌晨 3 点起床，卖到晚上 19 点收摊，日复一日，年复一年。我的工作环境，相比于他们已经很好了，却整天觉得压力很大，想躺平，赚的钱又不是非常多，能足以这样任性。看看他们去年经历的事情，以及现在的状态，说实话挺羞愧的。

但是他们从来没说过我什么，我想做什么去就去做，别搞黄赌毒就行（大笑），这个是我爸的原话。可能有人会说每个人能够承受的压力阈值不同，你何必用他人的方式逼自己呢。这个道理我是懂，但是如果高中的时候我没有狠心对自己，现在可能，不知道，或许会很差吧。

昨晚失眠，想起一件好玩的事。高中的时候我经常在空间里发说说，“加油小尾巴，晚安小尾巴”，大家都在猜小尾巴是谁，还能是谁？我当时那么内向，没什么存在感，难道还能脱单不成（笑），所以当然是我自己。因为我当时成绩基本是垫底，不过也没倒数几名吧，所以是“小尾巴”。我感觉截止到目前，高中时期我是最拼的，准确地说是高二高三。当时很喜欢看励志的故事，现在大家叫鸡汤。很多人现在都很反感这个东西，但是它的确在那段时光里给了我很多勇气。后来高二高三逆袭，在普通班考得比重点班的人还好，生物更是整个年段都没有对手，现在想想当时真是给力啊。那个时候的确很莽，我也不知道读书有啥用，但就是要读，冲就完事了。现在长大了，对一些目标反而畏畏缩缩，这人真奇怪，不知道在怕什么。

跑题了。

好汉不提当年勇，希望今年能勇吧。

加油小尾巴们
晚安小尾巴们