第15章 备战期末考试

《 余烬：从废物到极客 》 封面

    时间过的飞快，大一下半学期期末考试前一周，整个宿舍楼进入了一种集体焦虑的安静，走廊里不再有人半夜弹吉他，水房里排队洗衣服的人都少了，所有人都在熬夜复习。

    周明的作息从每天晚上十二点睡变成了凌晨两点，陆辰风的五个闹钟只剩三个——他放弃了七点二十和七点二十五那两档。

    林默予的复习进度是最慢的。

    不是因为不努力，是因为他的时间被分成了多块，老K最近在让他读一种叫SQL注入的东西，他花了一个星期才搞明白联合查询的原理。

    数据结构课上老师还在讲二叉树，但他私下已经啃到了图论。

    这是他第一次在课程之外主动学东西——像一个被点燃好奇心的人那样，沿着一条线索往深处走，这种感觉很奇怪，像重新认识了自己一次。

    周三晚上，陆辰风在宿舍里宣布他搞到了一份“往年数据结构真题”说是搞到，其实是他在学校贴吧里翻了三个小时的旧帖，从一个已经毕业的学长那里软磨硬泡要来的。

    那个学长在贴吧发了最后一条回复：“兄弟你的执着力我认可，祝你数据结构过。”然后把整套PDF发了过来。

    “兄弟们”陆辰风说“这是你们陆哥用脸皮换来的，周明，你过来看。”

    周明从上铺下来，接过手机翻了翻，表情从平淡变成惊讶：“这套题含金量很高，去年的题也在里面。”

    林默予没抬头，他正在写一个SQL注入的练习脚本，屏幕上的命令行不断滚动着测试结果。

    他最近发现了一个在线练习平台，不需要搭建本地环境，可以直接在浏览器里做注入实验。他已经连续三天在熄灯后拿着手电筒复习笔记到凌晨一点。

    “默予。”陆辰风的声音在他耳边炸开，“数据结构真题，我搞到的，你听见了吗？”

    “听见了。”

    “那你为什么不激动？”

    林默予的手指在键盘上停了一下，然后继续敲“因为我在写注入语句。”

    陆辰风把手机放在他屏幕前面，挡住了他的命令行“你先看一眼，就一眼，看完了你再注入，我不拦你。”

    林默予拿起手机，翻了几页，然后把手机还给陆辰风“这份题我看过一部分，去年我泡论坛的时候，有个学长发过其中一套，他说这些题不在于刷，而在于理解为什么这么做。”

    “所以你已经刷过了？”

    “没有，我看了一部分，然后发现数据结构不是我当下最需要补的东西。”

    陆辰风沉默了。

    周明摘下一只耳机，看着这边，宿舍里的气氛变了。

    不是紧张，而是一种很微妙的安静——像是有人在等另一个人继续说话。

    “那什么才是你最需要补的？”

    “安全，网络安全。”林默予把屏幕转过来，让他们看到那个满屏命令行的窗口，“我正在学SQL注入，原理是通过构造恶意的输入来改变数据库查询的意图，比如，一个登录框，如果后端不做输入校验，我输入某个特定的字符串，就能绕过密码验证直接登录。”

    “但这个问题并不是新技术——它已经存在了二十年，在所有数据库教材里都有解决方案，可直到现在，每年都有网站因为这个漏洞被攻击。”

    陆辰风坐下来，把椅子拖到林默予旁边，没说话，周明从上铺爬下来，也坐到了旁边，动作很轻，像是怕打断什么。

    “所以你在学怎么攻击？”陆辰风问。

    “攻击只是第一步，防御才是目的，老K说——你能攻进去，才能知道怎么防住。”

    陆辰风看着屏幕上那些复杂的命令，沉默了好一会儿，然后他问了一个任何人都能理解的问题：“你能演示给我看吗？不用真的攻击谁，就告诉我，你是怎么做到的。”

    林默予看了他一眼，陆辰风的表情很认真，不是那种“室友在搞什么奇怪东西”的好奇，而是“我想理解你在做什么”的认真。

    他新建了一个本地测试环境——一个只有他自己能访问的小型登录页面，特意留了一个SQL注入的漏洞。

    然后他打开一个命令行窗口，开始输入攻击语句，每一步他都停下来解释刚才做了什么、为什么这样做、对应的防御方案是什么，他的声音比平时低，像在讲一个只有两个人能听到的秘密。

    陆辰风从头到尾没插嘴。

    他看着屏幕上那一行行测试结果，最后说了一句话：“你上次数据结构课在笔记本上画弹窗的时候，你说你是从弹窗开始的。”

    “嗯。”

    “现在你在做SQL注入，下一步你是不是要攻入学校的教务系统？”

    “不会，教务系统有人在维护，老K说——白帽子的第一条准则：永远不要攻击你没有获得授权测试的目标。”

    “白帽子？”

    “就是做安全的，攻击是为了防御，不是为了破坏。”

    陆辰风靠在椅背上，双手枕在脑后，望着天花板沉默了很久，然后他坐直了，很认真地说了一句：“我以前只知道你在学写代码，但不知道你在学保护别人。”

    周明在旁边一直没有说话，他一直在听，眼神和平时上课记笔记时一模一样，他忽然轻声开口：“那个弹窗——我洗了袜子，后来我还在想，你怎么能做出这种东西。”

    “因为有人教了我。”林默予说。

    陆辰风伸出手，把林默予桌子上那碗已经凉掉的泡面挪开，他说了一句让林默予记了很多年的话：“以后你白天上课，晚上去学黑客，你的那份复习资料，我给你找，真题、笔记、课堂重点，我帮你整理，周明——你呢？”

    周明推了推眼镜，灯光在镜片上闪了一下“我可以帮他签到，数据结构课他上次没去，我替他喊了‘到’，老师没发现，以后也可以。”

    林默予不知道怎么接这句话，他不是那种会表达感动的人，但他做了一件事：

    把他写的SQL注入防御脚本发到了班级群里，然后打字：“计算机系同学可以看看，不是作业，是真实世界里正在发生的事情，如果有人想做类似的项目，可以找我拿测试环境。”

    陆辰风看着群里的消息，又看了看林默予，然后把最后一盒红烧牛肉泡面放在他桌上，没说话。

    因为他知道林默予不擅长回应“感动”，但他也知道——林默予用自己的方式，把学到的东西给了所有人。    目标编号034

请记住文章网址：https://www.afxsw.com/3986/957902.html