最近，Zoomeye（“鐘馗之眼”）的問世讓安全界掀起一陣不大不小的波瀾。這個由知道創宇公司推出的網絡空間搜索引擎到底是用來干什么的？它是否真如人們所擔心的那樣，會被黑客利用？近日，知道創宇公司研究部總監鐘晨鳴（余弦）接受了51CTO記者的專訪。訪談中，他的語調平和輕松，偶爾還會來點調侃，卻又不時流露出一種“白帽子”特有的俠義感。

 [[85622]]

知道創宇公司研究部總監鐘晨鳴（余弦）

Zoomeye：捉出被藏匿的漏洞

Zoomeye中文名為“鐘馗之眼”，它定位于網絡空間搜索引擎，能對暴露在公網的主機設備及網站組件進行全方位搜索（只要有IP地址即可搜索到），發現其中的漏洞，揪出網絡中“藏著掖著的問題”。

與谷歌爬蟲原理相類似，Zoomeye運用知道創宇研發的爬蟲技術，可識別網站用了哪些第三方組件，如：Apache、IIS、discuz、phpwind等。一旦哪個組件出了問題，即可知道該組件的影響面（地域、行業）有多大，從而為使用同樣組件的網站提供預警，如：在政府領域，如果某OA系統出了問題，那么，所有用到同種OA系統的機構都可能會受到影響。

Zoomeye與國外的撒旦有些類似，但在余弦看來，二者并無可比性：Zoomeye關注IP，也關注組件；而撒旦只關注IP，以設備搜索為主。目前，知道創宇先期開放了網站組件庫，主機設備（數據庫、路由器、網絡攝像頭、防火墻）庫暫時未開放。

Zoomeye推出后，很多人質疑其存在的必要性。普通站長好好的去搜索網絡空間干什么？別急，Zoomeye的用戶群定位壓根兒就不是站長們，而是監管部門和那些作為極客的“小伙伴們”。對于監管部門（如：CNCERT、各地公安局網監部門）而言，如果某組件曝出漏洞，他們即可迅速知道哪些網站會因此受到影響，并及時解決。而對于創業的“小伙伴”來說，從Zoomeye中的大量數據中會發現很多亮點，如：電商行業創業者在建立網站時可通過Zoomeye搜索到相關案例，找到本行業流行的組件，由此獲得借鑒；再比如，做應用的創業者通過Zoomeye搜索后發現，wordpress使用者比較多，就可以給wordpress開發插件。

Zoomeye被黑客利用怎么辦

針對Zoomeye的最大質疑當然還是：被黑客利用怎么辦？確實，作為一款搜索工具，Zoomeye人人都可以用，也包括黑客。黑客利用Zoomeye，能更快將對某組件的攻擊進行蔓延，這就像在現實生活中，小偷如果知道某品牌的防盜門在哪些住戶中被使用，那么，一旦他攻破了該品牌的防盜門，所有使用該品牌防盜門的住戶也就很容易被“搞定”了。

針對這一質疑，余弦坦誠，的確無法避免Zoomeye被黑客所用，不過，Zoomeye有相應的限制，對普通用戶只顯示前5頁50條信息。對真正的黑客而言，對這前50條信息的獲取，根本不需要通過Zoomeye，而是從其他途徑即可輕易獲得，如：很多知名組件供應商的成功案例中就有包含了這樣的信息。

如果因為擔心被黑客利用而不敢放出漏洞，無異于因噎廢食。在余弦看來，透明的力量的巨大的。把互聯網背后藏著掖著的問題曝光，通過適當地放出漏洞，能夠推動監管部門在漏洞出來的第一時間盡快解決，也能改變行業中現存的一些不良風氣——目前，一些甲方明明有漏洞，卻只會在私下偷偷地修復，嚴重打擊漏洞提交者的積極性，也不能及時將漏洞的影響降到最小。

針對業界目前對Zoomeye存在的爭議，余弦認為，每個革新技術的推出都難免面臨爭議。而評判一個新事物的標準，要看其發展主線，看其終極目的是不是好。

由Zoomeye引發的安全公司角色思考

Zoomeye網絡空間搜索引擎目前是免費的。余弦坦言，對于Zoomeye的商業模式，他們仍在探索中。未來，研究機構、廣告商、互聯網創業者，都有可能對Zoomeye搜索出的信息有深度需求。而知道創宇公司推出Zoomeye，則是其長期積累的大數據在安全領域的體現。

實際上，像Zoomeye這樣的網絡空間搜索引擎工具，很多安全公司都有能力做。但對這類工作，單靠個人英雄主義不可能實現。余弦表示，公司理念決定知道創宇能支持Zoomeye做大，而不急于要讓它盈利。這家成立6年的公司希望在安全層面做得更細，從宏觀上挖掘大數據的巨大威力。

在現有的安全公司中，有一類被投資者逼著要快速賺錢；還有一類希望做點偉大的事情，只要能影響整個互聯網，推進安全行業發展，“很多人就愿意去玩”，而不是殺雞取卵。知道創宇屬于后者，這家以80后、90后員工主打的公司也由此透露出有些另類的氣質。

余弦表示，將大數據應用到安全領域，Zoomeye只是個開始。在Zoomeye背后，還有很多其他類型的數據。如，知道創宇的安全團隊在研究中發現很多網站被黑，也發現很多欺詐網站、釣魚網站、賭博網站、色情網站等，便將其背后引擎產生的數據提煉出來，并推出安全聯盟。安全聯盟也應用了大數據，旨在借以龐大的惡意庫，形成合力，讓網絡中的“坑蒙拐騙”行為無處藏身。現在，安全聯盟已經獲得百度、騰訊、金山等多家互聯網和安全企業支持。而經過多年的積累，海量的庫也已成為知道創宇的核心競爭力。

余弦告訴記者，未來，知道創宇將把控兩個點：安全和大數據，并將二者結合，推動互聯網變得更安全。其中，說到大數據，很容易陷入浮躁，只有踏踏實實把大數據發揮價值的的場景找到，貼合企業業務，才能讓它真正落地。

題外話

問：“你為什么叫余弦？”

答：“我比較喜歡數學，余弦體現了我們團隊理念：光有正義的心不會成功，一定要有一定邪氣。團隊骨子要正，但思想和做事方式一定要邪，要像黑客一樣思考，Zoomeye就有邪氣，不邪不能存活。”

問：“你對自己的定位是什么？黑客還是極客？”

（思考二十秒鐘），笑，答：“這兩個詞不是非此即彼的，它們有交叉。我希望在研究問題的時候，像黑客一樣思考；做產品的時候，像極客一樣追求極致。”

問：“你對安全的理解？”

答：“我希望這個世界不是由不懂安全的人來主導。不論現實世界還是網絡世界，都不能為了追求發展速度而不考慮安全。但有時這二者要平衡非常難。安全需要大眾意識的整體提高，但人性弱點決定這個世界不可能完美。知道創宇希望能把安全理念向公眾普及。”