二進位安全的前景是怎麼樣的？

01-08

感謝大家閱讀。
眾所周知，黑客技術中web滲透技術易入門，而二進位難入門。
本人研一，對前者有一定的了解，後者正在摸索當中。
初心是想擁有在網路世界的超能力，擁有getshell任意一台電腦的能力。
-----------------------

目前在學習windows下的漏洞挖掘，發現看書的過程比較枯燥，特來請教大家。
希望可以了解一下公司里二進位方向的各個職位和未來的發展前景？
好讓自己更有動力一些。謝謝大家。
-----------------------
2017年6月9日更新：
感謝各位前輩的回答！
沒有想到這個問題能再火起來。
大半年過去了來更新下。
題主決定擁抱linux平台了。
理由本來寫了很多，先搞起來就是了。

目前還是個安全行業的新人側面回答一下這個問題

我覺得二進位安全的前景(按題主的意思特指二進位漏洞)是與攻擊者的獲利息息相關的。

之所以有這麼多人研究二進位漏洞，就是因為二進位漏洞可以被攻擊者用來獲取大量的經濟利益。

目前的情況是廠商不斷改進漏洞緩解措施導致漏洞利用的成功率越來越低、成本越來越高，我想如果有一天攻擊變成一個賠本的買賣（成本大於獲利），漏洞研究可能就走到頭了，當然這一天可能永遠也不會到來^_^。

個人對二進位安全的感受是：一將功成萬骨枯。

相對於Web安全來講，二進位就業面來說還是相對較窄，說到底還是門檻高並且難以自動化，並且沒有擊中目前很多互聯網公司的痛點（需求不明朗）。

二進位安全可以有以下的方向：

去乙方做病毒分析、漏洞分析
去乙方的安全實驗室做漏洞研究、挖掘
去乙方參與二進位層面的安全評估
去乙方.......

上面基本都是去乙方公司做研究導向的工作。如果想去甲方工作，講道理，包括我所在的團隊基本沒有這個需求，大量的崗位還是留給了Web安全方向、移動安全方向的同學。

為啥說是一將功成萬骨枯呢？說到底還是門檻以及深入學習的成本較高，學習曲線比較陡峭，但是非常適合興趣導向以及發誓一輩子專心做技術的同學，因為二進位安全確實對技術的要求比較高。

相反，web安全選擇會更多一些，覺得自己不是技術的料，也可以往運營、安全管理等方向進行發展，因此就業面也相對較廣。

-------------------------------------------------------------------------------------------------------------------------------

汗，編輯完才發現寫成web安全和二進位安全的區別了。

總之，如果你對二進位安全十分感興趣，同時也能靜得下心來鑽研技術（這一點很少人能做到），那麼不論其前景如何，你只要保證鑽研與堅持，幾年下來做到top N%也不是沒有可能，到時候估計漏洞bounty都拿到手軟了~~~~~

「前景」是比較模糊的詞，姑且假設提問者是想了解就業方面的情況。

信息安全人才目前在全世界範圍內都比較缺乏。具體到國內，信息安全人才的需求大約每年增長 1.5 萬人，但每年實際培養的人遠不夠這個數。所以信息安全就業方面還是比較樂觀的。

到 2016 年，信息安全專業本科畢業生的薪酬已經位居所有專業之首：

同時，信息安全專業本科畢業生的就業滿意度也已經連續三年最高：

所以，至少從就業的角度說，信息安全專業的前景還是不錯的。

具體到二進位安全，因為並沒有專門針對二進位安全方向的就業調查報告，所以我無法給出類似上面這樣的數據。但就我個人在行業里的觀察來看，國內二進位安全人才的缺口，是比整個信息安全專業平均水平還要高的。不同層次和方向的二進位安全人才都很缺乏，不只是缺一些頂尖高手。

另外啊，對於雞蛋到底該多少錢一斤這樣的問題，為什麼要在意魚丸的看法……

2017.7.2 更新：

很多人都從行業角度來分析，我發現如果從技術角度分析，那就不是前景好不好的問題了，根本不可能搞下去好嘛。

二進位安全的一部分問題是c風格數組不知道自己幾斤幾兩（堆溢出、棧溢出、格式化字元串）。另一部分是sb用戶手動管理內存（二次釋放、uaf）。還有一部分是根本不屬於二進位的訪問控制問題。

對於緩解二進位漏洞，就算os層面做的努力全都可以繞過，語言的runtime也是很重要的，如果你看一下最近的幾個AOT語言，比如golang吧，該補的東西都補上了。如果若干年後，二進位都用上了這種runtime，我估計你們也就只能研究一下歷史遺留代碼了。

或許你可以說還有最後那個問題，又不是只有二進位會碰到這種問題，幹嘛非要死磕二進位啊。

----------

我的感覺是，進階路線不是很清晰，行業的生態也不是非常好。

唯一的優勢是還有幾十萬的缺口（其實也不怎麼樣，移動互聯網的缺口是幾百萬，照樣幾年就飽和了），但目前天朝尚有人口紅利，如果培訓班盯上了，能撐幾年也難說（我忘了這題說的是 pwn，如果按照 web 那種中學生難度，一定迅速飽和）。

本質上來看，對於計算機來說，安全的代價太低了，你可以想像，搞土木的不重視安全，搞化工的不重視安全會是什麼樣子。最近清華不是還炸了一個，你去實驗室看看就知道了。計算機的危險性比這兩個低，所以忽視安全的代價也低。平時大家都是在寫字樓里上班，危險是啥，不存在的。這個硬傷無可避免。

再加上之前的大環境，經濟高速增長，賺錢的機會有的是，沒人會關注負產能的安全。網站被搞垮了再建一個就好了。等經濟增漲放緩，大家賺不到錢，而是想要不賠錢的時候，可能不是現在這樣。未來嘛，誰知道呢。

總之安全適合你經濟不發愁了，想隨便玩玩或者挑戰自己的一種技術。而不是第一個從事的崗位。

瀉藥

怎麼說呢…web安全入門相對比較容易，而且現成的工具比較多，自然腳本小子也很多…

但是二進位安全就不太一樣了，要先一點一點啃彙編，啃各種底層的協議，而且各種架構都得知道一些吧，學習曲線比較長，而且漏洞挖掘的時候還要有創造力，想像力。

搞搞ctf的pwn可能還好，真正沉迷搞二進位很苦的，沒有那種興趣還真的堅持不下來……

說實話，web由於開發者水平參差不齊，很多常見漏洞會在多種場景不斷復現，但是二進位安全就完全不同了，挖洞很需要耐心的，而且想提權、getshell可能還需要多個漏洞的「組合拳」，難度可想而知。

再說說前景，國內真正搞二進位安全的公司並不多，就業真的是一將功成萬骨枯，類似@Flanker Edward這樣的大佬太太太難得了，可以說前景完全不如前端開發……

當然黑產例外

//一個剛入門pwn的菜雞隨便說幾句……

初心是想擁有在網路世界的超能力，擁有getshell任意一台電腦的能力。目前在學習windows下的漏洞挖掘.......

難道不是應該先學網路，再學操作系統么？掩面而逃 ~ (*+﹏+*)~

總體來說，web方向機會多，二進位方向機會少，並且二進位方向細分領域壁壘多，如果你做了x86平台，對arm平台來說沒什麼價值。如果做了web方向機會會相當多，未來選擇多。在影響力方面來說web方向大於二進位，也決定了市場方向偏向web。從投入的精力來說，二進位方向投入的精力很大，影響反而小。建議做web方向，投資收益比比較高，高很多。一年內可能把關鍵技術掌握，而二進位方向未必能搞完並且深入，搞完你會發現水很深，你發現需要一個團隊來支撐。如果特別想搞二進位，那就選android吧，從最近來看這方面還是需求很大，並且短期不會飽和。對於ios，mac需求按道理來說也大，但真正的崗位卻比較少，加上其安全機制和補丁響應速度，可能你的長久的努力，會被一個補丁分分鐘顛覆。你想問android補丁難道就不打？因為市場原因，補丁落實到用戶手機上回滯後好幾年，並且這種狀況不會改變的。

任何領域都有頂尖人才和一般人才，我只想說我認識的搞二進位安全的頂尖人才，年薪百萬，身家千萬，甚至財務自由的大有人在。

以「擁有getshell任意一台電腦的能力」這個為初心來看，二進位安全的前景無與倫比。

而以「安全就是個失敗方向，而二進位又是失敗中的失敗」這個為出發點來看，這個話題可以不用聊了。

謝邀。。。

要快速賺錢還來搞毛線安全啊。。。

去招聘網站，點擊薪資排行，看著前兩頁需要什麼技術多，去學就好了哇。。

要裝逼來搞安全。

堅持搞下來的話，悶聲發大財也是不少滴。

不說了，本鶸還在刷《漏洞世界》。

一覺醒來沒想到這麼多贊，有些同學說太長不看，那我就一言以蔽之——安全方向之所以失敗，是因為安全的市場很小，並且在可以預見的未來市場會更小。

————

安全就是個失敗方向，而二進位又是失敗中的失敗。奇技淫巧，絞盡腦汁，還沒人寫ifelse賺的多。

一將功成萬骨枯，最終能進各大公司實驗室賣藝吆喝的也就那幾個ctf的大佬，對於廣大凡人而言，路子窄得很。除非你進黑產。

就算進了這些實驗室…

安全就是個賣噱頭的方向，永遠邊緣永遠屌絲（你以為你很屌，其實你只是屌旁邊的絲）。

如果哪天安全不邊緣了，滿街都是警察特務，這個世界還能活嗎？

如果世界太平，那警察能拿幾塊錢薪水？兔死狗烹沒聽過？看看360。

更不用說二進位這個神坑，搞bin唯一一點爽的，就是你有能力知道關於計算機底層發生的所有事情。但這又有什麼用呢？

你熟悉的那套，沾沾自喜，精通的那些東西，有什麼價值？你創造價值了嗎？寫過哪怕一個垃圾傳奇私服？

更別說安全圈子low b這麼多，一個個不是說技術不深，而是level太低，一方面看問題的層次low，看不到十步開外的距離；另一方面風氣很差，主要是因為半吊子多，各種忽悠大神sbblabla。

當然了，相對於web，bin至少門檻稍高一點，但所有的缺點，只要說安全領域，無一例外。

言盡於此，評論區歡迎撕。

做安全確實不賺錢，360企業安全都是在虧損著跑，齊向東都還在尋求融資。360企業安全，啟明星辰，綠盟三家公司銷售額就佔了40%的安全市場銷售額（整個企業安全市場全部加起來才200億到300億）。王者榮耀2017Q1月流水超過30億元，整個企業安全市場盤子比不過一個王者榮耀。

我參與360企業安全從創建到收購網神網康，360去年的年收入才做到10億（業界第一是啟明星辰），2017年目標20億。但困難之大誰都知道，銷售人員人數得翻番。

而企業安全對待員工待遇就不是那麼好了。在360企業安全員工和360集團（C端，個人產品端）比起來就是二等公民（福利待遇差點），這和其它企業安全公司比較還算比較好的。其它安全公司就更坑了。

所以要做安全，給的建議是盡量不要去給企業做安全服務的公司，去BAT 或者360集團，有點本事了去個互聯網公司做安全方向的總監。

算是給個建議吧，安全是個很好裝逼的地方，但對於賺錢來說還是靠人生機遇。

哎呀，想學安全就好好學嘛，想賺錢就學賺錢的技術嘛，又想只專註技術又想多賺錢，這真是讓人很難辦呀。

好吧，扯個淡。

其實我個人的理解，bin安全和web安全只是關注的點不一樣，bin更關注c語言那一套，相對底層一點的。

然而我們現實生活中用c寫的項目已經很少有業務代碼了，都是一些吊炸天的牛逼項目，那些項目自身難度大，寫的人水平高，所以漏洞不好找，當然，一旦找到就牛逼了，而web針對業務居多，現在業務太多了，到處都是，所以web在實用性上很佔優勢。

不過要注意啊，bin也要分具體的，pwn和rev還是不一樣的，rev你可以做病毒研究啥的，那個還是很業務的，我這裡主要想說的是pwn。

那為什麼還有需要學pwn的？我之前就一直沒想通這個問題，於是老覺得自己會找不到工作，後來問了個補天的，他告訴我說，那些實驗室是需要pwn的，理由？很簡單，你的企業需要名氣，我猜這也是騰訊那麼多實驗室存在的理由吧，畢竟安全行業，別人選擇你的業務，得先看你靠不靠得住。

so，對於pwn來說，最好的就是去實驗室，專註於技術本身，你給公司帶來的價值就是你的研究成果，為公司爭名氣。至於人數？真的是要的人少，不過還好，學的人也少..

對於前景來講，真的把技術學精通了啥都不用考慮啊，你是大牛去哪兒混不走啊。以及，其實現在我個人覺得二進位還是會起來的，這取決於iot多火，iot的代碼用c寫的業務看起來不少，這個時候pwn就有用武之地了，和web性質也就差不多了。搞業務永遠比搞通用的庫簡單實用。

結論:想學就好好學咯，其實我聽到的倒是老有人告訴我二進位方向不錯的，真到時候逼得你需要轉web了也沒有想像的那麼難轉的其實。

(菜雞pwn拙見，有不對的錯的地方大家指正的時候留點面子謝謝)

門檻高，回報少。這個是真的。你看上面那些安全圈的名人，老人，都在模糊回報這個事情。因為，真的回報少。

另外，如果光搞二進位漏洞挖掘，你的正向編程能力會停止不前。另外，搞這個東西，搞的是細節，研究多了，你的大局觀，或是說架構能力會出現問題。你的思維會掉到小坑裡出不來。

那麼，當你想做產品時，你就會發現自己的技術能力完全不匹配。

而市場對正向技術人員需求是最多的，回報也是非常不錯的。特別搞的了二進位逆向的人，搞搞正向的東西，絕對是TOP10里的人才。回報肯定也是IT業中TOP10的那一層。

講了這麼多，就是希望年青人才們不要掉到這個坑裡來。

如果自己真的不想搞正向技術，可以考慮進入這個圈子。

二進位門檻很高的，一般學不了的都去做web了。

web要是都學不了就只能做內網滲透了

我感覺任何的加密方式都比不上social engineering. 想要信息安全管住machine是不夠的,更重要的是管住人。

不了解二進位安全，不過感覺肯定比web安全門檻高太多，因此技術好的二進位安全大神也相對來說比較稀缺。

甲乙方二進位安全需求的崗位現在也在慢慢變多吧，比如移動安全逆向分析、溯源、威脅情報、主機安全防禦這些方面二進位大神都能起到很大的作用。

因為門檻高，核心競爭力相比其它安全相關崗位更強一點，也不用擔心被替代。一般搞二進位安全的做安全研究的比較多，不用擔心績效啥的~

所以想入坑二進位安全，我覺得沒毛病，不過也要考慮學習成本，門檻高學習的話可能更加費勁一些，如果很感興趣，那就學起。畢業之後不用擔心工作的問題，肯定會有公司要的……我身邊的二進位小夥伴，比web狗工資高太多了，web狗不服也不行，沒毛病~ 。

我認為二進位安全未來前景很不錯，移動安全、智能硬體等等方向肯定會需要大量二進位安全方面的人才，反而web狗的未來比較堪憂啊。各種防護軟體、以及開發安全意識的提升，web方面的漏洞越來越少，自動化的很多東西會慢慢替代web 的很多工作內容，很堪憂！

關鍵看還是給自己的定位是怎麼樣，不是所有的人都有潛力成為 masterpwn 的。不管是哪個方向，你在上面多挖深一點，多精進一步，也許就會離大師近點。。你說的前景，最終還是得看你個人能力了。

看鑽研有多深

太喜歡錢的不要做安全

誘惑太多