黑客和網路安全從業者有哪些常人沒有的電腦使用習慣？

01-14

在高鐵上，想到哪寫到哪吧

先介紹下背景：主力工作機型 Ubuntu workstation/server, 自用MacBook Pro，甚少用windows。主力手機使用iPhone + Pixel

區別包括特定場景下對安全威脅的評估，對軟體異常的響應。比如如果我現在連著公共無線，那什麼樣的行為是有高風險的，什麼樣的行為是風險可以接受的。還有如果一個軟體出現了bug，普通用戶可能不知所措，開發人員可能可以知道問題原因，但沒有源碼無法修復，而二進位安全研究人員就可以直接操起工具直接binary patch.

對於一些客戶端里的校驗，會去思考它的實現方式，怎麼樣去繞過，例如前段時間支付寶的AR紅包，普通用戶可能想著找比較像的圖片，研發人員會去把圖片用演算法處理下，安全研究者就直接逆向之後Hook進去在客戶端裡面做手腳了。

會逆向的話，就有探索和控制軟體的技能。會exploit，就能自己製作工具，root越獄自己搞定。看見各個地方求大神的帖子會微微一笑。

日常生活：

1. 優先使用Signal/Whatsapp，這兩個有EndToEnd encryption。國產聊天軟體僅用來談論無關痛癢的東西。

2. 除了平常研究使用的測試機，其他機器保持系統更新到最新。

3. 只在App Store/ Google Play上安裝軟體。

4. 有GPG key，郵件優先使用GPG加密。

5. 所有機器開啟全盤加密。

6. 不使用百度搜索，全部Google，實在不行了bing。

7. 使用加密代理訪問沒有開啟https的網站

8. 上傳照片前一定確定exif和geolocation都已經去掉

9. 能開啟二次驗證一定開啟

10. 貼防窺屏

日常軟體使用：

1. 國產軟體統統放虛擬機里跑。網銀軟體一個虛擬機，偶爾需要使用的其他軟體一個虛擬機。安裝好後做快照，定時回滾。

2. 不在公共wifi下使用敏感軟體（手機網銀，金融軟體，etc）

3. 常備Charles/BurpSuite，常用inspect element

工作引起的癖好：

1. 軟體或者系統crash之後會看dump trace或者掛調試器，有時候事實上崩潰昭示著一個漏洞。

2. 看到某個軟體的作者或者開發團隊在公開場合開源某個庫，或者提到使用了某個庫會記下來，然後去審計下那個庫的代碼，通常也有收穫

3. 看到某個ID會有社工的習慣。

4. 常備IDA / JEB，感覺軟體有bug了或者好奇功能怎麼實現了就拖進IDA里看看

給家長用的都是iPhone，拒絕一些喜歡跟流氓軟體狼狽為奸的國產手機。

密碼不用一個，隨機生成密碼，不暴露隱私這種已經是常識了。。

1.安裝軟體只去官方，要是沒有官方，那麼就托到虛擬機。實在要本地使用，會去在線行為分析的看下都幹嘛了。

2.會記錄每次開機到關機的所有網路數據包。

3.會記錄每次開機到關機的所有軟體行為記錄。

4.任何人發來的文件，都會在虛擬機打開。

5.瀏覽器用chrome，相對安全性高。

6.瀏覽器使用noscipt擴展。

7.如果是開發人員，資料庫在本地也是強密碼，web僅本地可以訪問。

8.網站能不註冊賬戶就不註冊,如有單點登錄(oauth)就使用，必須註冊就用小號，或者是申請個新的郵箱，不跟支付寶等使用同一郵箱。

9.網購信息名字用假的，電話用阿里小號，針對每一類名字不同.比如購物用小明,sns用小軍,一旦信息泄漏,就知道從那裡泄漏的。

10,每一類網站的密碼都不一樣。

十七年信息安全從業者，進來看看，順手回答一下，雖然是信息安全從業人員，對安全比較敏感，但攝像頭是不貼的^o^，能控制攝像頭了，不是中了木馬就是被控制了系統，都這樣了你只擔心被偷拍？回來看看其他回答，真的是段子手好多啊。我怎麼那麼多朋友，都是頂尖的安全專家，沒一個貼攝像頭的？話說都是干安全的，連自己系統都沒信心保護好嗎？
一些常用的習慣：
1）系統補丁該打就打上，防火牆的策略能設上就設上，另外，我照樣用windows，習慣了，懶得改，使用個影子系統，也沒必要用什麼殺毒軟體，隔段時間就ghost回一個最初的乾淨系統，反正我使用的基本都是portables版本軟體，不用安裝，重置系統就十分鐘的事。另外看了別人回答，我的確也有系統潔癖，如果別人的系統，一般不會去輸密碼什麼的，基本上去哪都帶著筆記本，所有沒必要在別人系統上輸入密碼。
2）網站是不會隨便註冊的，如果只用郵箱還好，使用了一個免費的郵箱專門用於註冊網站，如果需要手機號碼的，對不起，除非是銀行、支付寶、京東這些生活中基本離不開的網站，什麼餓了嗎、美團等O2O基本這種不是必需品的網站都不會去註冊（當然，認為這些是生活必需品的可以去註冊，但是我沒點外賣的習慣）。
3）瀏覽器用firefox和chrome，不用系統自帶瀏覽器，在外面很少會用wifi上網，基本都是用手機流量
4）重要的網站密碼都不一樣，避免撞庫，密碼使用keepass管理，本地保管
5）使用家用 NAS存儲數據，重要數據基本不備網盤中，還是放自己這放心
6）用一張銀行卡綁定支付寶、微信，裡面沒多少錢，夠日常支付買東西就行
7）用一個手機號專門去註冊各網站收手機驗證碼，所以往這個手機打電話的不是推銷就是騙子（說這條與第二條衝突的，你們就沒有遇到過必須要註冊或者留電話的地方嗎？第二條指的是我可以選擇是否要註冊的地方，盡量不註冊，但是總有你必須要留電話的地方吧）
8）微信好友都必須實名，不實名不告訴我是誰的，不加，所有好友都加了備註。基本不搶什麼紅包和不點別人發的任何鏈接，有需要的例外
9）去外面取款機取錢時輸入密碼都會手指先到處虛點，避免通過攝像頭或者其他方式知道我輸入的密碼（話說那個什麼可以通過肩膀和手臂動作還原輸入密碼的APP沒試過，不知道真有人在我後面用這樣的APP做會出啥好玩密碼）
10）看到什麼軟體新功能或者新模塊，第一反應是這玩意有什麼可被利用的地方^o^，這個習慣正在淡去，主要很久不做滲透了
11）在很多地方輸入密碼時，先故意輸入一個錯誤的密碼
12）一般情況下很少隨便裝軟體，如果要裝，先在虛擬機中裝了看看，確保沒問題才裝到自己使用的系統中
13）看到別人吹牛啥高大上的名詞一定會去查查是個啥玩意，然後弄明白基本概念之後呵呵
14）不裝殺毒軟體，是的，我連windows10自帶的windows defender都幹掉了。其他評論有人提到過的，其實不算習慣，只是一種做法。這個要說明一下，不是擔心殺毒軟體有啥問題，而是，特么的你們干信息安全的和所謂的黑客們，計算機上就沒有會被殺毒軟體殺掉的一堆文件嗎？連我授課做演示用的很多文件都被殺掉了，例如說那個netcat，哪怕是設置目錄為排除，總不能每次使用前先關殺毒軟體吧。所以幹掉殺毒軟體不為別的，因為我計算機上有會被殺掉的軟體。

好多習慣，先寫到這，有空想到再更

從來不裝第三方殺軟

重要帳號從來不用同一個密碼

文件或數據存不下本機寧願刪除也不存雲，重要數據除外

電腦里一定有VM或者其他虛擬機平台

電腦里會有VS或者其他編輯器

看到有問題的網頁會習慣性F12

遇到錯誤碼或者其他程序問題懂得如何使用搜索引擎找到解決辦法

一定有chrome 或者Firefox瀏覽器而不是國產360或者Qq

chrome 或者Firefox 一定會安裝第三方插件，比如firebug等

最重要的習慣是不會隨意點擊不熟悉的鏈接，不會連接不熟悉的公共WIFI 不會相信詐騙簡訊里的中獎信息

目前就想到這麼多，有再補。

1. 不同網站密碼不一樣。

2. 快捷支付綁定的銀行卡並非主卡

3. 不在非BAT及官方銀行進行支付。例如我用京東也只才用微信支付

4. 不會因為網路匿名就瞎說話，因為要被人肉或者被某xxx定位太簡單了

5. 如果要發表啥不宜言論，一般會掛代理，還有就是不用主郵箱

6. 接上一條，會花錢買國外的伺服器用。做啥都方便

7. 不安裝亂七八糟的軟體，太危險。打遊戲不敢用外掛，自己分析外掛有沒有問題太花時間了

8. 不連公共wifi做支付等行為

9. 有的兄弟收到候選人簡歷都是在虛擬機裡面打開的

10. 電腦會裝殺軟

11. 有打補丁的習慣，因為自己知道如果不打補丁，自己能怎麼黑了自己

12. 手機不會開啟雲功能，手機上不拍不合適的照片

必須反對下那個卸載360的答案。

不知道答主是不是做安全的。電腦上必須有一個這種主動防禦類的殺軟。你確定你知道怎麼防禦惡意文件繞過系統本身的安全機制？繞過後別跟我說你抓包定位，反彙編，行為監控……那個時候卵用沒有……你怎麼分析都沒用……

ps:這種問題沒有相關經驗就別出來強答了，真心誤導觀眾。還有只是為了裝一下，下次回答說是你從來不用windows效果或許更好點？

輸入法默認一定是英文

用網站先掃目錄。然後會用f12或者burp找頁面的各種參數，遇到可疑的參數會各種調教。

用軟體喜歡抓包或者拖進ida裡面看源碼。安卓則是拖進android killer。看到註冊機制第一想法是怎麼破解。

崩潰之後喜歡看錯誤信息裡面的eip和esp。

特別喜歡關注封閉系統（掌機、家用機、ios）的破解。

喜歡用antispy這種東西手殺。喜歡監視註冊表和ini。

有一些技術層面的習慣，如隨手抓包、看源碼等。

但是有一個習慣可能比較典型：

抗拒一切安全做的差的銀行、理財等產品。

如果一家產品不做基本的客戶端加固、鏈路加密，哪怕是關鍵欄位傳輸加密，那說明此產品毫不考慮用戶安全。

那我只能考慮不用它了。

所以，從業越久越感受到一點：

未來產品安全不再是單純的技術問題，可能更是產品臉面問題。

越看越感覺，扯的太遠了。。。。只是對敏感的地方或者操作有特別的強烈自然反應和感觀，就和每個行業有每個行業的職業習慣一樣。再扯會，就成了，手寫殺軟專屬版，，，聲麥弄壞換耳機，，，鍵盤絕對不無線，，，無線專屬獨家用，，，身裝黑白兩手機，，，花錢存卡轉四下。。。

從BT3到kali多少年了。。。我依舊還是個win下的滲透菜雞。哎。。。

1. 文件夾查看文件一定是詳細信息模式，開啟顯示文件後綴名。

2. qq tb jd zfb等密碼會設成強隨機密碼自己記住，其他網路賬戶，會用密碼管理軟體生成12位數字字母組合，密碼都不一樣，註冊郵箱會用一次性郵箱服務。

3. 攝像頭會用膠布封住。

4. 開機自動啟動VPN。

5. 會關閉guest用戶和遠程連接還有共享。

6. 瀏覽網頁會對每一個鏈接敏感，或是修改到上一級路徑或是後面加上個』，無論是pc端還是移動端，釣魚網站基本目測秒識破。

7. 偏愛base64加密一些不想被搜索引擎爬到的信息。

8. laptop不會借給任何人用。

9. 看到別人的筆記本會忍不住猜密碼進去。

10. 去講台拷貝老師的課件喜歡用命令行操作在全班同學面前裝逼。

11. 電腦里最多的一定是腳本，「在此處打開命令提示符」是最頻繁的操作。

11. 愛裸奔。

會一直把攝像頭封住

卸載別人電腦上的360

不用顯示器音響，口含視頻音頻輸出線推算圖像聲音

絕不用來源不明的WIFI

二維碼不掃，送原味內褲也不掃

核心密碼/應用密碼/金融密碼/外圍密碼各自隔離

對自己的財產型賬號都有對應的保險

可以快速挖到妹子微信，但沒法搭訕，總不能說：你好，我是個安全人員，挖到了你的微信，報警前能交個朋友么

從來都是自己用針刻系統盤的，這樣安全不會中毒

從不安裝殺軟

從不把娛樂軟體安裝到工作機

系統在不了解她的情況下絕對不會使用

一言不合就Google

不經常看中文技術文檔

默認輸入法一定是英文

所有密碼一定遵守密碼守則

看了眾多回答，突然意識到

我可能是個假黑客（這只是個段子）

我本來就不是黑客

=============================更新============================

可能有人看不懂這個答案

這個問題老早就想回答了，當時有點忙。

首先，勉強算是個安全從業者了，偽黑客。認識很多真黑客，多年安全從業者。

遮攝像頭是什麼鬼，斯諾登事件？

不用國產瀏覽器是什麼鬼，國產咋了？火狐，谷歌，360，TOR我一直覺得是標配好嗎？

不裝殺軟是什麼鬼？手工打補丁很好玩是嗎？

密碼從來不用相同的又是什麼鬼？那這麼多撞庫而導致淪陷的網站/伺服器，那些運維/管理員都不是安全從業者嗎？

大部分回答都是湊字數，很多東西都是理想化的，真正做到的寥寥無幾！

講真，不同的地方不多。因為這問題是『黑客和網路安全從業者有哪些常人沒有的電腦使用習慣』

很多答主理解成了『黑客和網路安全從業者和常人有哪些不同』

以下是我和我身邊幾位長期在一起以及其他很多不常在一起的朋友以及可能是大多數安全從業者對比大多數普通人不太可能會有的電腦習慣

隱藏已知文件名的拓展名，此處不打勾。

出門在外，在非必要情況下不會去連接公共WIFI。（此處去掉，不屬於電腦習慣）

除非是特別信任的情況下，離開電腦基本會鎖屏或關機，電腦會有開機鎖。

絕不亂下載非官方軟體到物理機上，必要情況下會在虛擬機打開。

不會亂點url，特別是看到釣魚網站會產生好奇感，閑時會試著檢測一下。

會裝類似not epad++的軟體，原因有倆，一是有些txt文件過大，用這一類軟體打開會快一些。二是源碼看起來沒記事本那麼累。

基本就這樣

我身邊有一位，上網必用vpn，因為他不確定什麼時候會攻擊，而在攻擊之前瀏覽也是足跡。而且還有一張黑電話卡。在檢測別人網站的時候有時會註冊，而註冊的時候常用黑手機號。不過這種手段不是所有安全從業者都會去用的。

最後，安全從業者不等於黑客，謝謝。

星巴克：先生我們這提供免費 WiFi....

不，謝謝。

浦東機場：先生我們這提供免費 WiFi....

不，謝謝。

KFC：您掃這裡可以變成我們的會員有優惠....

不，謝謝。

*Con：我們會場提供WiFi....

不，謝謝。

你手機為何打不通？

我飛行。

我可以借您手機通話么？

不，不行。

....

系統潔癖

公司、家裡只要是自己常用的電腦，都自己重做系統。

不在別人的電腦登錄任何輸入密碼的網站。

別人如果用過自己的電腦，就感覺渾身不舒服。

機箱外面多加幾把鎖防止被入侵。

硬碟位置裝有燈便於檢查本地文件。

用魔方鍵盤每次用之前轉幾圈防止記錄動作。

網線剪斷分成十幾節防止被遠程攻擊。

所有硬體都有小型版的防止成為肉雞。

寫代碼的時候用固定電話寫。

固定電話上只有兩個鍵。