开发与渗透
矛盾
开发工程师与渗透工程师之间是很微妙的关系。
开发的目的：
- 开发应用，增添新的功能。
渗透的目的：
- 在应用中的功能点中找到有漏洞的地方。
某种程度来说，开发与渗透在工作内容上是相生相克的。哈哈
如果开发的水平很较高，能写出健壮性较高的代码的话，即考虑了多种异常情况，包括各种用户的异常输入情况，这样会让一个渗透工程师在开始测试的时候感到很棘手。
如果渗透工程师的水平很高，会让开发者的网站满目疮痍，丑态尽出哈哈。。
挖洞过程：
渗透视角：
之前做过一小段时间的渗透，经常要对一些准备上线的Web应用进行渗透测试，运气比较好的话，总能找出一堆的漏洞。
几个搞渗透经常找到一些漏洞，都会高兴地分享出来这个功能点是是通过哪些步骤、姿势绕过验证。
大家经常有一种感觉，每找出一个漏洞，便会
- 觉得这个开发水平不怎么样，哈哈哈。。。
- 怎么连这这种情况都没有考虑到。。
- 这样都给我绕过了。。哈哈
之前我也是这么觉得的，但是做了几个月的开发之后，又有新的理解。
开发视角：
开发的工作环境是与渗透完全不同的，从一首打油诗中可见一斑。
十年编程两茫茫，工期短，需求长。千行代码，bug何处藏。纵使上线又如何，新版本，继续忙。
黑白颠倒没商量，睡地铺，吃食堂。夜半惊醒，无人在身旁。最怕灯火阑珊时，手机响，心里慌。
这种赶需求的节奏，时间短，需求多，需要大量的开发人员，赶着开发，是很难写出健壮性的代码的。
有时候在规定的时间内，连上头的需求都写不完，哪有时间来考虑代码安全性方面的问题。
除了开发节奏过快之外，还有一个造成出现漏洞的原因似乎是 无法避免的。
应用的阿喀琉斯之踵？？？
出现漏洞的原因：
如果从代码层面来看待Web应用为何会出现安全漏洞，简单地可以笼统地归结为一句话：代码健壮性不够，即异常处理不够全面。
要想写出健壮性的代码，换句话说就是要考虑多种异常情况。
但是一个开发者，或者一个开发团队，再有经验都很难在应用上线前就考虑完所有异常情况，几乎是不可能的。
所以很多异常情况是需要测试，或者上线后才能知道的，而渗透也属于测试的这个过程，可以说是充当着一个找Bug的角色。
渗透并不是全部。
总结：
要求开发者在短时间内写出安全性很高的代码，有种缘木求鱼的感觉。
从现实情况来看：
- 应用几乎没可能不出现漏洞，这是个多因素造成的问题，似乎没有解决方案。
所以渗透过程中遇到任何应用出现漏洞应该觉得很正常，应该处之泰然，没必要diss开发哈哈
每当你觉得想要批评什么人的时候，你切要记着，这个世界上的人并非都具备你禀有的条件。
Whenever you feel like criticizing any one, just remember that all the people in this world haven’t had the advantages that you’ve had.—–《了不起的盖茨比》菲茨杰拉德
- 瞄一瞄软件开发平面图：
换个更大的视角去看，渗透测试只是软件开发的一个小插曲，并不是全部,not the all。
启示：
- 开发者应该尝试去渗透测试的角度去看待、理解问题
- 渗透测试工程师应该尝试从开发者角度去看待、理解问题
好像说了两句废话。。哈哈哈
自由在于用进一步的理解取代考虑不周全的思想。—斯宾诺莎