14年玩成全球顶尖骇客，戴夫寇尔首席资安研究员亲身份享5阶段心路转折

“虽然说我的成就看似光鲜亮丽，全世界可以相比的人也屈指可数，但我也有自己的课题要面对。”今年刚率领戴夫寇尔（Devcore）资安研究团队，在全球顶尖白帽骇客比赛Pwn2Own中夺冠的戴夫寇尔首席资安研究员Orange Tsai，近日在台湾资安大会上，分享自己一路成长为世界顶尖骇客的心路历程。

他大方揭露，自己也经历所谓的“萌新”时期，从找不出错误的程式码，一步步学习、成长、历练，才能达到现在的成就；而在各大比赛中崭露头角后，顶着资安新星的光环，却也有遭遇挫折的时候，这时就需要重新找到动力，才能坚定的持续前行。这些一路走来面临的转捩点与课题，都是他不断精进自我的关键。

以数码宝贝的进化5阶段，回顾自己14年骇客学习历程

Orange Tsai演讲过程中，以卡通数码宝贝的5个进化阶段，分别是幼年期、成长期、成熟期、完全体到究极体，来回顾自身14年来的骇客技能学习历程。

“大部分人可能会好奇，我以前如何接触电脑？如何想当骇客？”Orange Tsai表示，开始接触电脑的契机，是在小学四年级，接触到知名电脑补习班补助弱势孩童的电脑课程，尽管已记不得当时所学内容，但是过程中“很好玩”的感觉，开启了他摸索电脑的兴趣。

这段学习电脑的“幼年期”，Orange Tsai表示，自己也曾经是个“萌新”，就像是游戏中的新手玩家，还在不断学习探索。遇到问题，也会到“Yahoo奇摩知识+”征求网友解答，比如询问该如何打开“命令提示字元”；或是自学C语言时，把整段程式码贴上询问错误之处。

直到2007年底，他看到新闻正在播送一个轰动全台的骇客新闻，因而萌生了一个想法：“如果可以在网络世界中，神不知鬼不觉地来去自如，应该帅爆了！”至此，他立下了要当骇客的目标。

在兴起这个念头后，Orange Tsai的骇客生涯进入“成长期”。回想成长期的学习历程，他认为，“学习一门技术，就像玩游戏的过程，”比如任天堂在2017年发行的游戏萨尔达传说，让玩家在开放世界的地图中探索，就像学习一门新领域时，从最熟悉的地方逐渐向外探索的过程，“如果你在探索某块地图、打倒某只怪物的过程中感到好玩，代表你已经开始乐在学习了。”

Orange Tsai在成长期的时候，正是秉持着探索的精神，开始学习各种骇客攻击手法，无论是木马程式、逆向工程、网络攻防各类知识，都主动接触，若遇到看不懂的内容，就先笔记下来，“每隔一段时间重看一次，直到看懂为止。”

持续摸索一、两年后，由于一个人学习有其局限性，也缺乏与他人的交流，Orange Tsai主动与当年在资安圈小有名气、现在则是戴夫寇尔首席执行官翁浩正联系，进而加入了他在辅仁大学创办的资安研究社团NISRA。

当时，Orange Tsai只是高中生，但每周都会固定到辅大的资安社团学习，他也因此接触到更多资源，比如开始迷上鼓励骇客思维的Wargame比赛，也曾经为了某个挑战茶不思饭不想，浑然投入其中。这些学习经历，更让他在2009年，第一次以高中生身份参加台湾骇客年会时，就一举夺下冠军。

“我从最初觉得骇客很帅，到学习骇客技术上瘾，又因为冠军引起关注，这对一个高中生来说，自信心是很大的膨胀。”Orange Tsai说。

开始历经挫折，却从中找回属于自己的骇客精神

以夺奖作为分界点，Orange Tsai的学习历程进入“成熟期”。在这段时期，为了获得更多认同感，他开始刻意训练自己的演讲能力，也投稿各类研讨会，来分享自己习得的知识或资讯。

“虽然当时是因为认同感才决定演讲，但回想起来，这是我做过最正确的一件事。”Orange Tsai指出，一场演讲的准备，就是进行一次小型研究的过程，为了确保演讲内容精彩且正确，得不断地对同一个主题深究，过程中，会将杂乱的资料整理成有用的资讯，内化成自己的知识，再向观众解释，“这些能力对我日后有很大的帮助。”

除了对外寻求认同感，Orange Tsai也对内寻求自我的认同。当时，由于好奇自己的极限，他开始骇入曾经使用过的服务，“我不是要搞破坏或从中获利，我也知道这会为自己带来很多麻烦，可是这个挑战非常吸引人。”剖析当时的心境，他也坦言，骇入时，会在满满的罪恶感与成就感之间徘徊，甚至会为了要不要按下Enter键犹豫许久。

虽然Orange Tsai找到了漏洞后，都会向提供服务的企业回报，但是，这类攻击举动仍对这些企业造成困扰。他强调：“这是不好的示范，我不鼓励大家这么做。”尤其，当时他刚加入戴夫寇尔不久，公司刚逐渐上轨道，他才惊觉，自己一时错误的决定，可能会因此连累所属公司的名誉受损。“这件事情带给我很大的反思，后来，不轻易造成别人的误会与困扰，成为我的重要原则。”

Orange Tsai建议，若新手骇客要练功，无论是CTF或是Bug Bounty之类的挑战，都是很好的方向。就像当时，他对于骇客技术的追求，转而透过CTF这类比赛来实现，“CTF更专注技术，且自带竞争感，跟我当时的想要聚焦技术、追求成就感的想法不谋而合。”

这段参加CTF竞赛的时期，被Orange Tsai划分为进入“完全体”的阶段。借由竞赛，他获得了非常丰硕的成果，比如学习还原只剩一半的QR Code、学习开锁技能、甚至透过逆向工程使吃饺子老虎机中大奖等，“在CTF可以挑战各式各样新颖有趣，甚至一辈子都碰不到的技术。”甚至，在CTF上斐然的成绩，还让他与战队成员，受到总统接见的殊荣。

但在这时，Orange Tsai却开始遭遇了另一个挫折，“虽然CTF带给我很大的成就感，但也要承认，永远会有比你天才的存在。”这个认知，甚至让他开始质疑自己：“为什么要这么努力？自己的价值到底在哪里？”

经过一段时间的反思，Orange Tsai逐渐体认到，在真实世界的骇客攻防中，除了技术之外，更重要的是经验，“我这几年的经验累积，是对方单靠技术无法碾压的。”他为自己打气，只要不停止接触资安，在攻击的经验上，自己肯定能占据优势。

对此，他更引述一位骇客余弦（EvilCos）所说的话，来勉励自己与观众：“哪怕再小，也要让自己成为某一点的No.1。”哪怕再小，每一次成为第一名的过程中，就是一次自我学习的实现，“当你可以说服自己在某一点拥有价值的时候，心中就能更踏实的走下去。”他坦然的说。

站在世界舞台，使命感油然而生

当了多年的电竞选手后，Orange Tsai发现，CTF的成就感逐渐满足不了自己，因而开始往更大的目标挑战，这是他的学习历程中最后一个阶段“究极体”。

这个时期，Orange Tsai陆续挑战了各种骇客领域中，自己尚未拿过奖项的比赛，不只近日在Pwn2Own比赛中获得破解大师（Master of Pwn）的桂冠殊荣，2019年也与同为戴夫寇尔资安研究员的Meh Chang，获得漏洞界奥斯卡奖Pwnie Awards“最佳服务器漏洞奖”的肯定，过去也曾担任世界级骇客大会如Black Hat USA、Defcon、HITB的讲者。

“当眼界放大到世界，使命感会慢慢地浮现，尤其在国际舞台上，台湾常遭邻居打压，如果可以大声讲出你来自台湾，心里就会莫名的爽。”Orange Tsai毫无保留的说出，要让世界看见台湾的决心；不只如此，他的使命感，还在于对台湾资安人才的培育，近年来参与了-办理的资安人才培育计划，要透过自身力量，帮助台湾年轻骇客成长。

不过，走到这个阶段的Orange Tsai，看似已经达到旁人不能及的高度，仍旧遭遇了更多课题需要自我克服，“虽然说我的成就看似光鲜亮丽，全世界可以相比的人也屈指可数，但我也有自己的课题要面对。”

比如追逐成就感的过程，是驱使他不断向高处攀登的动力，但有时也让他陷入钻牛角尖的循环。他举例，为了让自己产出比前一年更杰出的研究成果，去年一整年，他每天都强迫自己找漏洞，也因此，找漏洞变成一件痛苦的事。经过一段时间沉淀后，他才发现，有趣的不是挖漏洞的过程，这是别人花时间也能做到的事，反而是创造出新的攻击手法，才能更能彰显他的价值，也是他真正感兴趣的事。

“很多人问我，你会不会有一天不做资安？”Orange Tsai郑重地说，若做资安的动机，只是单纯因为帅、或是觉得好玩，将来就可能被更有趣的事吸引而放弃，不过，他总结自己学习资安的过程，从一开始觉得骇客很帅、学习技术很好玩，逐渐感受到认同感、成就感与使命感，不同阶段目标的叠加成就了现在的自己，“套一句某个前辈说过的话，骇客是终身职，我为什么会放弃资安？”

找到学习动机、刻意练习，每个人都有机会成为第一

最后，Orange Tsai给所有对资安有兴趣的年轻学子一个变强公式，尽管不一定适用所有人，但他建议，在学习资安的路上，首先要找到学习的动机，“有够强的动机，才能驱使你不怕任何事情持续前进。”再者，则是要刻意练习、刻意挑战，持续挑战比现在水平更难一点的题目，若挑战成功，就能从解题过程中获得乐趣与成就感，若挑战失败，也能检讨反思，来避免日后犯下同样的错误。

Orange Tsai说，就像自己过去，也曾循序挑战更难的题目、刻意练习演讲的能力，“持之以恒，就能在某个领域中成为第一名。”