在我做交易员之前，主要的收入来自网络安全方面，所以会在blog里记录较多关于网络安全行业的事情，这里先来聊一个：网络安全是不是一个伪命题？
有没有绝对安全的网络？
很多“沉迷”黑客文化的都说，没有绝对安全的网络，我初中开始学网络安全的时候也很沉迷这句话，感觉自己只要技术足够强大，那么就可以战无不胜，挖到某个漏洞之后按个回车键，立马就可以getshell。
当真的学进去了，进入这个行业之后，就会发现，真的有很多网络真的是“绝对安全”的！
众所周知，网络安全里面有个活动叫做“护网”，很多人简称hw，hvv，反正就是不能正常说话。护网也就是模拟蓝队和红队的攻防，很多大学生也会参与，赚点外快顺便装逼。
其中红队，是大家都想去的队，没能力去的非常羡慕，我最初在定级为蓝初的时候觉得自己经过努力可以离红队越来越近了，进红队之后发现，红队也不过如此，没什么新奇的，哪怕是某些大厂实验室的大佬。
哪怕是再牛逼的大佬，他攻击你也得遵循基本的网络通信原理。
绝对防御存在吗？
举个非常简单的例子，我租一台vps，vps只允许ssh登录，密码为16位大小写数字字符组合，里用docker组建一个mysql+nginx+wordpress的组合，然后在wordpress里面放上一篇文章《fuck red team,attack me please!》，然后关闭所有端口只留下22，80，443，在22端口写一个脚本让猜错一次密码就把ip给封了，全站打从域名买好就上cloudflare。
就这个简单的组合，我敢确定国内99%的所谓黑客大佬是束手无策的，他们能够突破的地方就是想办法找到我的真实ip，要么就是找到我nginx或者wordpress的0day，要么就是等到某一天nginx或者wordpress出了0day，想在当下拿下这种站是不可能的。
那么上面的案例是不是一个简单的几乎绝对防御的案例了？所谓的大黑客对侮辱他们的人束手无策？是的，黑客并没有外行想的那么神通。
那么为什么现在存在这么多漏洞？
如果刚刚简单的案例，我需要成立一家公司，我需要把我的网站增加子站，子站开了很多服务，我自己一个人做不过来，我需要雇一大堆程序员帮我做，这些傻逼程序员不知道留言板里弹窗意味着什么，但是可以做牛马天天给我敲代码。
此时，网络安全行业就有了生长的土壤，因为我无法判断这些傻逼程序员都在写什么鬼，人越多，漏洞越多。到后期甚至我的HR找一些大学生，写一个后台登陆竟然还是js拦截的，就好像某大厂分站一样。
总之，合作的工人越多，傻逼就越多，傻逼越多，漏洞越多，漏洞越多，网络安全不就发展起来了嘛！
网络安全是不是一个伪命题？
就技术层面来说，我不喜欢把网络安全归结到一个单独的行业，我一直觉得它是软件测试的一个分支，比如src挖洞，一些渗透测试，实际上和软件测试的工作流程是非常相似的。
只不过做软件测试的是一群大学不怎么学习但是又想从事IT行业的人，这些人每天和机器人一样用脚本fuzz一些无聊的东西，软件发布之后还会被搞安全的挖到一大堆漏洞去换钱，所以网络安全单独隔离出来也是合情合理的。