小迪安全培训

小迪坐在工位前，小迪屏幕上是安全一段刚抓取的攻击日志。他指着其中一行说：“你看，培训这人试了三次密码，小迪第四次换了用户名，安全但IP段没变。培训”我凑过去，小迪确实，安全那串数字在第四行换了前缀，培训但后两段一模一样。小迪他补了一句：“工具会骗人，安全但人的培训习惯不会。”

这是小迪我在小迪安全培训课上记住的第一个画面。培训地点不是安全什么高大上的攻防实验室，就是培训他们公司会议室，白板上贴满了便签，桌上散着几根网线。小迪本人也不是什么西装革履的讲师，T恤牛仔裤，说话带点东北口音。但他说起安全来，眼睛是亮的。

课程从不是从“什么是漏洞”开始。他直接扔了个真实案例：某电商平台被薅羊毛，损失几百万。技术团队查了三天，发现是优惠券接口没做幂等性校验——同一个请求重复提交，系统就反复发券。小迪问我们：“这是漏洞吗？是。但更关键的是，写这段代码的人，根本没想到有人会这么干。”他顿了顿，“安全培训最该教的，不是怎么防，而是怎么想。”

他讲攻击手法，从不念PPT。有次演示SQL注入，他没用现成的sqlmap，而是手敲了几行命令，边敲边说：“工具是拐杖，你得先会走路。”然后他故意输错一个参数，页面报错，他指着那行错误信息：“看，这就是数据库在跟你说话。它把表名都告诉你了，你还不会利用？”那一刻，我忽然觉得，安全不是冷冰冰的漏洞列表，而是一场和系统的对话。

培训里有个环节，让每个人模拟攻击者去搞垮一个测试站点。有人一上来就扫端口，有人直接试弱口令。小迪在旁边看着，等大家折腾完，他说：“你们都在找技术漏洞，但没人想过，这个站的管理员是不是用生日当密码？前台的小姑娘是不是把账号贴在显示器上？”全场安静了几秒。他笑了：“技术是手段，人是目标。别把顺序搞反了。”

课程最后一天，他没讲总结，放了一段录屏。那是一个真实钓鱼攻击的全过程——受害者点了一封伪装成发票的邮件，输入了公司邮箱密码。不到十分钟，攻击者就用这个密码登录了内部OA系统，翻到了财务报销流程。小迪说：“你们觉得，这人缺安全意识吗？他不缺，他缺的是那十秒钟的停顿。”他指着屏幕，“如果他能停下来，看一眼发件人地址，或者想一想，为什么发票邮件要让我输密码？”

培训结束后，我回去改了部门所有服务器的默认密码，还逼着同事把生日从密码里去掉。有人嫌麻烦，我就给他们讲小迪说的那句话：“安全不是一道锁，是你在开门前多问自己一句——这扇门，真的该开吗？”

现在偶尔还会想起小迪那个乱糟糟的会议室，和他那句没头没尾的口头禅：“别急着动手，先想想对面是谁。”这话糙，但理不糙。