破局者河图：专攻“疑难杂症”的实战派创业逻辑【T00ls人物专访第二十一期】

追风赶月莫停留，平芜尽处是春山

自我介绍

我是河图，香港墨客创始人。

在网络安全这个圈子，从最初的接触到实践成功的15年，我算是个典型的“实战派”。

早些年我一直在做一线攻防，主导搭建过覆盖网络、应用及数据层的多维度渗透测试体系，亲手挖过上百个高危漏洞。后来创办墨客，我们以“解决实际问题”为核心目标，用这身手艺解决企业的痛点，为企业的安全提供技术支持。

正是基于这种“解决痛点”的导向，我们没有选择做“大而全”的通用产品，而是结合我的特长，专挑那些客户最棘手、最无助的领域去深耕。

硬核的安全攻防与底层技术。 这方面我有点“强迫症”，专攻同行解决不了的疑难杂症：

• 首先是底层协议的深度研究。 特别是在 TCP/IP 协议领域，我有着极深的技术积累。我不满足于使用应用层工具，而是专注于挖掘底层逻辑，曾亲手发现过多个关键的协议级漏洞。
• 其次是反诈领域的实战打击。 深度参与公检法一线工作，利用技术手段进行资金流追踪、电子取证和落地打击，协助检方固定证据。
• 前沿架构的安全落地。 曾牵头开发过某区块链安全框架，专门解决金融交易和供应链场景下“数据不可篡改”与“隐私保护”的矛盾。这套框架目前已成功落地。

先来让我们看看朋友们对他的看法

不知名网络安全工程师查鲁特

河图——那位让防火墙颤抖、让女程序员尖叫、让银行账户余额骄傲的网络安全工程师。

玲珑安全&芳华绝代联合创始人Kider

认识9年的老伙计，是Web3圈里公认的炒币高手。不管是早期埋伏潜力山寨币，还是做主流币的波段操作，他都没怎么踩过坑，收益一直很稳。他性格低调，关于家庭和现实身份的事很少提及，始终带着点神秘感。 圈里喜欢他的人不少，既有佩服他实力的，也有认可他人品的。而我最清楚，他这人是真靠谱——重情重义，这9年里前前后后请了我好几次MMC，每次都真诚又热络；分享行情和行业看法时也从不藏私，就算面对不少爱慕者，也始终保持分寸，不暧昧、不敷衍。既是能一起聊赛道、谈行情的靠谱伙伴，也是能放心交心的老友，很难得。

网络安全技术爱好者 牧马人

说起河图和潘总，相信安全圈无人不识，一来是因为渗透方面的建树，对传统web漏洞利用，逻辑漏洞，逆向工程和安全开发方面都有扎实的功底，二来是因为钞能力，凭亿近人的江湖豪杰性格。可能有时他会有一点高调，但不气盛还叫年轻人吗？我敢说在95后中，他的实力属于领军人物。

某金融公司CISO 朽木

河图是我认识很多年的朋友，感觉本人极具计算机天赋和不喜欢循规蹈矩的做事，总喜欢搞一些大新闻。且知识面极广，善于用非常规思维解决问题。希望未来越来越好，早日自由。

接下来让我们通过几个问题，了解河图的成长道路

能否请您分享一下您是什么时候开始接触网络安全的？当时是出于什么契机或兴趣？

河图：正式入行是 2012 年，但故事得从 2010 年说起。 那时候我对技术特别好奇，买了一本《Linux 运维入门》，结果翻开全是代码，像看天书一样，百度搜索到的资料很死板、单一，并不能让我很好的理解其原理。

后来偶然发现QQ里搜这一类技术的关键词能加相关的技术群，我抱着求知的心态加入了他们，所幸群里的大神们都很友善，对我的疑问都进行了细致的分析，使我理解起来更简单，那一下子就像打开了新世界的大门。

而那几年我加了快 400 个群，从 “易语言开发” 学简单编程，到 C 开发，“OpenStack” 了解云平台搭建，“无线电开发” 摸索硬件相关知识，甚至 “PE 开发”“it天空” 都加了。

从易语言到C再到 OpenStack，从无线电到 PE 开发，什么都学。那时候我也做过站长，日子过得很狼狈：网站今天被挂马，明天数据被篡改，急得在群里求救，绞尽脑汁的研究怎么避免这些情况的，学的跌跌撞撞，每天都焦头烂额。

真正的转折点是进了 360 主机卫士的 QQ 群。那里有怪狗哥、陆羽前辈、一修哥等这些大神。群里的大神帮我补充web安全的相关领域知识。

2014 年 9月，我拿到了补天平台的第一个“补天娃娃”，我记得是某品牌的手机权限绕过，当时我在拿到那个玩偶娃娃的时候非常开心。那种靠技术换来的认可，比赚钱更让我激动。

您的学习渠道主要有哪些？在学习过程中，有没有哪些资源或平台对您帮助特别大？

河图：我的技术成长史，是个典型的“野路子起家，正规军成才”的过程。回过头看，主要是跨越了三个台阶：

第一台阶是QQ群里的“江湖切磋”。 那时候不仅求知若渴，更讲究“输出倒逼输入”。群里的前辈们很直接，他们不主张教你用傻瓜式工具进行设计，而是逼着你学原理，了解内在的核心理论。

比如我问“怎么绕过防火墙”，他们直接甩给我 TCP/IP 协议详解；我问“为什么扫描会被拦截”，他们倒逼我去把数据包的结构啃透。 这种“不给工具给原理”的硬核交流方式，虽然痛苦，但却帮我打下了最扎实的底层基础。

第二台阶是论坛时代的“百家争鸣”，2012 到 2016 年是网络安全的黄金时代，例如92 灰客、sss大风车、华盟、52pojie，看雪，还有吐司（T00ls）等网络技术组织快速兴起，他们在自己组织的领域做大做强，而我像个游侠一样到处“拜师学艺”。

那时候不满足于用现成的脚本，而是开始死磕漏洞逻辑：为了验证一个 SQL 盲注效率，或者测通一个 XSS 绕过，往往在虚拟机里一泡就是一整天。这段经历让我完成了从“脚本小子”到“技术研究者”的质变。

第三台阶是项目的“极限施压”，后来参与政企项目，挑战完全变了——面对的是大规模集群和关键基础设施，时候光懂应用层攻击不够了，现实的残酷逼着我不得不往下沉淀，必须继续深造，一刻不停歇的获取技术知识才能让我更好的面对这次挑为了搞定复杂环境的漏洞挖掘，我开始死磕 TCP/IP 协议簇，从底层数据包的逻辑里找漏洞；

• 做区块链安全时，为了攻克“智能合约重入攻击”，我在实验室熬了一周；
• 配合公检法做反诈时，更是需要在海量数据中抽丝剥茧。

如果说早期的圈子给了我“术”，那么后来的实战和底层研究，则给了我“道”。

从网络安全技术尖兵，现在走到了自主创业得路上，您是如何完成身份转变的？

河图：这个转变并非一蹴而就，而是一次痛苦的“认知重构”。它迫使我从单纯的“技术极客思维”，升级为了“商业与责任闭环思维”。

这个跨越主要体现在我对“价值定义”的三次修正上：

第一次是从“攻破系统”到“解决痛点”的修正。

做技术尖兵时，我的成就感来源于Exploit（漏洞利用）。那时候，我看到一个复杂的勒索病毒，第一反应是惊叹它的加密算法写得真精妙，想的是怎么逆向它来证明我很强。 但创业后，当我面对哭诉的企业主，我意识到“技术牛逼”没用。客户不在乎你的逆向过程多复杂，他们只在乎业务能不能不停摆、数据能不能救回来。这逼着我把技术视角从“寻找系统漏洞”，强制切换到了“解决业务痛点”上。

第二次是从“单一环节”到“结果闭环”的修正。

以前做攻防，我只需要抛出一个 POC（概念验证）或一份渗透报告，证明问题存在，我的工作就结束了。 但在深耕公检法反诈领域后，我发现单纯的技术线索是无效的。警方需要的不是一个 IP 地址，而是一条完整的、符合司法程序的证据链。 这迫使我不得不跳出代码，去研究侦查逻辑和电子取证规范，将单一的技术追踪，升级为包含“资金流分析+链上溯源+司法取证”全案闭环。从“给线索”到“帮破案”，这是我身份转变的关键一步。

第三次是从“技术中立”到“社会责任”的修正。

做自由技术人时，我可以保持技术中立。但创立墨客，特别是涉足算力基础设施和反诈后，我承载的是客户的信任和法律的重托。 我现在思考的不再仅仅是“代码怎么写”，而是如何构建一套能为客户兜底的防御体系。这种“守夜人”的责任感，彻底取代了当年那个只想“炫技”的少年心气。

作为网络安全行业的创业者，你对如今的环境怎么看？对行业的未来是否还充满信心？

河图：我对这个行业的环境的看法很现实，总结起来就是一句话：“国内在红海里内卷，海外在蓝海里掘金。而我的选择是坚定地走向世界。”

首先，如果不客气地讲，国内的安全市场现在确实太“卷”了。 大家都在看财报，很多头部的安全大厂都在亏损，这里面的原因“懂得都懂”。 国内很多时候受限于非市场因素、预算紧缩和复杂的合规流程，导致大家陷入了低水平的“价格战”和“关系战”。

技术做得再好，往往不如关系跑得好，这种环境对于真正搞技术的实战派来说，是很消耗的。因为实战派讲究的就是个技术，如何将时间利用起来，突破技术的限制这是我们的重点。而就现在的环境而已，将宝贵的时间浪费在人际关系的虚与委蛇之中，对于实战派来说是不利的。

但反观国际市场，却是另一番天地。 我们经常看到一个现象：有些安全公司在国内亏得一塌糊涂，但它们一到海外，分公司反而是盈利的。为什么？ 因为国际市场的商业逻辑非常纯粹：你有技术，能解决问题，客户就买单。 这里没有那么多复杂的“人情世故”，只有“技术变现”的硬道理。

所以，我对未来的信心，完全来自于“走出去”的战略定力。我想走出去，用自己的技术说话。

作为技术创业者，我们不能在家里“窝里横”或“卷价格”，必须去世界的大舞台上，用硬核技术切分那块巨大的蛋糕，这才是我们该有的出路。

当前传统的web渗透发展已经放缓，更细分出很多诸如ai安全，车联网安全，云安全等等的专业技术细分赛道，您有接触过这些吗，您认为他们和web渗透之间有什么关联。

河图：我有深度接触过，特别是在区块链安全和AI 自动化渗透这一块。

对于这两者的关系，我的观点是：Web 渗透是“内功”，细分赛道是“招式”。而 AI，则是我们将招式自动化、极致化的“倍增器”。

首先，关于 AI 安全，我认为它的核心价值在于“替代重复劳动”。 现在的 AI 安全，更多是替代人去完成基础的渗透工作，甚至是在基础渗透之上进行自动化编译和利用。 为什么要用AI安全去替代人去完成基础的渗透工作呢？ 因为机器的规则是固定的，它绝对不会漏。

我们做人工渗透时，往往受限于精力或惯性思维，容易忽略掉一些不起眼的细节（比如一个非标准的端口，或者一个冷门的参数）。但 AI 就像一个不知疲倦的扫描仪，它能严格执行既定规则，把所有可能的面都覆盖到。这就能够很好的替代人工，提升渗透效率和质量。

其次，车联网安全虽然涉及硬件，但逻辑是相通的。

我也关注过 2015 年互联网大会的那些议题，确实，车联网很多时候是在搞硬件和近场通信： 比如研究钥匙芯片的加密，利用无线电频率重放去解锁，或者分析蓝牙协议做 CSR 劫持。

但你仔细看，不管是抓无线电信号还是抓 HTTP 包，底层的“抓包-分析-重放/篡改”攻防思维是一模一样的。

最后，为什么说 Web 渗透依然是基础？ 因为 AI 再强，它的“规则”还得靠人去写。 AI 为什么知道这儿有个漏洞？是因为我们把 Web 渗透的经验（比如 SQL 注入的特征、逻辑漏洞的模式）喂给了它。 如果你不懂 Web 渗透，你就写不出精准的规则，你造出来的 AI 就是个只会瞎撞的傻瓜。

所以，新赛道不是对 Web 渗透的替代，而是 Web 渗透在硬件场景（车联网）和效率场景（AI）下的延伸。

您认为新人在这个领域有哪些机会和挑战？

河图：我个人认为这个机会在于“跨界”，挑战在于“替代”。

首先来说挑战，挑战是非常残酷的：AI 正在淘汰“工具人”。 正如我刚才提到的，现在的基础渗透和扫描，机器比人做得好。

机器的规则是固定的，它不知疲倦，也不会像人一样因为疏忽而漏掉某个细节。以前新人学个 owasp top10跑一跑就能接单的时代，彻底结束了。

所以，如果你的水平还停留在“会用傻瓜工具”，那你注定会被 AI 替代，因为这些是基本的，并没有太多的技术含量，你能做，AI也能做，而且能做得更好，所以你能有什么它不能做，你却能做的技术，拥有AI所不能替代的技术手段，这才是新人面临的最大挑战。

再说说机会，机会相应的就在于“复合型人才”的稀缺。 既然没啥技术含量的苦力活机器干了，人的价值在哪？答案是在于理解业务和处理复杂逻辑。 行业极度缺乏能把“技术”和“业务”打通的人：

• 比如我们做反诈，光懂渗透没用，你还得懂经侦逻辑和取证规范；
• 比如做车联网，你得懂无线电物理层； -比如做区块链，你得懂金融风控。 这种“技术 + X”的复合型人才，才是现在的天价刚需，也是新人弯道超车的唯一机会。

在这里我给新人一些建议： 别被花里胡哨的新名词迷了眼。 AI 再强，它的规则也是人写的。先把 Web 渗透和计算机基础（网络协议、代码逻辑）这碗“主食”吃饱，有了这个底子，你才能去驾驭 AI，而不是被 AI 取代。

最后，守住底线，技术向善，这个行业不会辜负肯全心付出，认真钻研的人，追风赶月莫停留，平芜尽处是春山。

河图，一名从QQ群“野路子”闯出的实战派创业者。

他的成长史，是一部典型的中国网络安全草根逆袭记：从在400个技术群中如饥似渴的“游学者”，到在政企、反诈、区块链等硬核战场上解决“疑难杂症”的专家，最终创立墨客，将技术淬炼为商业解决方案。

他身上兼具黑客的极客精神与商人的清醒视野：对内，他沉迷于TCP/IP协议层，专攻他人避之不及的底层漏洞；对外，他犀利地指出国内市场的“内卷”现实，并旗帜鲜明地将未来押注于“用硬核技术切开海外蛋糕”。

他给新人的忠告——“AI在淘汰‘工具人’，机会在于成为‘技术+X’的复合型人才”——既是对行业趋势的冷峻判断，也是其个人成功路径的最佳注脚。河图代表了网络安全领域中，那一批以技术为矛、以商业为盾，敢于走出舒适区，在更广阔战场定义规则的破局者。