共计 3751 个字符，预计需要花费 10 分钟才能阅读完成。
萨米不想成为每个人的英雄。他甚至都不想要新敌人。
然而因为几行奇妙的代码，在不到一天的工夫内，他成为了过后最风行的在线社交网络上超过一百万人的“英雄”和“敌人”，我的空间。
大概在 2005 年 10 月 4 日午夜，在洛杉矶，过后 19 岁的黑客 Samy Kamkar 开释了起初被称为“Samy 蠕虫”的病毒，它可能是传播速度最快的计算机病毒。一次，这种病毒永远扭转了网络安全的世界。
Kamkar 于 16 岁高中毕业，并在 17 岁时创建了一家名为 Fonality 的软件守业公司。他说，他只是想感动他的技术敌人，仅此而已。一切都在一周前开始，坎卡尔通知我。过后，MySpace 为用户提供了许多自定义配置文件的自在，从而容许应用 HTML 代码，这导致了色调丰盛，而且查看配置文件通常很麻烦。
“一旦我可能做到这一点，我意识到我实际上能够在页面上做任何事件。”
然而，并非 MySpace 上的所有内容都是齐全可定制的。例如，用户只能上传 12 张照片。有方法解决吗？Kamkar 他开始到处游荡，试图看看他是否能够坑骗 MySpace 做网站不应该让用户做的事件。他很快找到了办法并上传了 13 张照片。
当波及到“关系”字段时，用户也只有多数抉择。有一个带有规范选项的下拉菜单：已婚，独身，恋爱中，还有其余几个选项。过后有个女朋友的坎卡尔（Kamkar）心愿可能抉择“亲密关系”。随着更多的黑客入侵，他也这样做了。
“当我可能做到这一点时，我意识到我实际上能够在页面上做任何事件，”他通知母板，回忆起那个重要的夜晚。
SAMY KAMKAR 在洛杉矶家中的计算机上工作。图片：主板
在接下来的一周中，Kamkar 编写了一个脚本，该脚本对于任何其余用户都是不可见的，并将迫使所有拜访他的个人资料的人将他增加为敌人。该脚本还将在该人的个人资料的“我的英雄”类别下增加一行：“但最重要的是，萨米是我的英雄。”Kamkar 意识到，如果脚本只对页面的访问者无效，那么他将涉及的人很少，因而，他对脚本进行了编程，使其也能够复制到访问者本人的个人资料上。
那时，他制作了一种自流传蠕虫。
他通知我：“我认为一个月内我会失去 100 或 200 个敌人。”“其中有些人会埋怨，我将其删除，仅此而已。没什么大不了的。”
第二天早上，他醒来，有 200 个敌人申请。那是他“吓坏了”的时候，因为蠕虫的传播速度比他设想的要快。一小时后，申请数量减少了一倍，而后呈指数级增长。那时，卡姆卡说他以匿名形式向 MySpace 发送电子邮件，揭示他们该蠕虫以及一种阻止蠕虫的办法，但他没有回音，直到明天，他依然“不晓得”是否有人真正看到了该电子邮件。
到下午 1:30，他曾经积攒了超过 2500 个敌人，并收到了 6,000 多个申请。
坎卡尔在当晚发表的博客文章中写道：“这曾经失控了。人们向我发消息说，因为我的名字被列入了他们的 ’ 英雄 ’ 名单，他们曾经举报我为 ’ 黑客 ’。”产生了“显然，人们之所以怄气，是因为他们从敌人列表中删除了我，查看了其他人的页面甚至本人的页面，并立刻被我再次感化。我统治。”
他补充说：“我心愿没人起诉我。”
几个小时后，Kamkar 在 Chipotle 买了墨西哥卷饼，而后回家再次查看他的 MySpace 个人资料。那时他有近一百万个敌人的申请。
KAMKAR 的 MYSPACE 个人资料的屏幕截图，摄于 2005 年 10 月 5 日。图片：SAMY KAMKAR
他在博客中写道：“这是官网的。我很受欢迎。”
在 MySpace 解体之前的几分钟，这个数字攀升至超过一百万。该公司必须使站点脱机以查明产生了什么并革除蠕虫。
坎卡尔通知我：“我感到十分蹩脚。我真的很惆怅。”然而那时他什么也做不了 - 一旦开释了蠕虫，就曾经太迟了，因为蠕虫会自行流传。大概两个小时后，该站点恢复正常。他的个人资料已被删除。
KAMKAR 在 2010 年于拉斯维加斯举办的 BLACK HAT 平安会议上发表演讲。
事件产生几个月后，Myal 负责平安总监，库纳尔·阿南德（Kunal Anand）说，在萨米蠕虫病毒袭击时，该公司“简直没有平安团队”，并且“不晓得该怎么办”。
没有人能看到像 Samy 的蠕虫一样的货色。这是一个“行业分水岭的时刻，”Anand 通知我。
网络安全专家，WhiteHat Security 公司的创始人 Jeremiah Grossman 说，Samy 蠕虫是“该行业中的每个专家都在期待的时刻之一”。
Kamkar 的蠕虫只管迅速流传，但最终还是有害的：所做的只是与他成为敌人，并在感染者的个人资料上加上了几句话。然而，如果卡姆卡已经是罪犯，或者怀有更刁滑的用意，那么他本能够接管他们的账目。正如格罗斯曼（Grossman）所说，坎卡尔（Kamkar）“有能力去做他想做的任何事件”。
年老的黑客应用的技术称为跨站点脚本攻打，通常缩写为 XSS，攻击者将恶意代码注入网站，诱骗该站点以及用户的浏览器来执行代码。据格罗斯曼称，理解网络安全的人们都晓得，能够像坎卡一样攻打大多数站点，然而直到 Samy 蠕虫之前，没有人认真对待这一威逼。
“（萨米）永远扭转了这个行业。”
格罗斯曼在电话中通知我：“过后，这是一种十分令人赞叹的破绽。咱们晓得每个站点都存在该破绽，但没有人真正展现出您能够应用该破绽做什么。”“萨米做到了，他永远扭转了这个行业。”
Grossman 认为，在产生 Samy 蠕虫时，80%到 90%的网站容易受到相似攻打。这个问题引起了人们的极大关注，以至于 Open Web Application Security Project 致力于为站点创立 API，以使用户能够应用其页面上的代码而不会裸露于 XSS 破绽（它们称为 AntiSamy Project）。
依据 WhiteHat 的平安机构 2015 年收集的数据，十年后，只有 47%的网站可能具备雷同的破绽。如果没有 Kamkar 蠕虫引起的留神，兴许这依然是一个更广泛的问题。
在将来的几年中，网站和浏览器将加强其针对跨站点脚本攻打的安全性，然而依然存在一些值得注意的攻打。例如，在 2013 年，因为相似的破绽，几个 Yahoo 用户的电子邮件帐户被劫持。去年，黑客在 Tweetdeck 中发现了一个 XSS 谬误，使他们可能强制厌恶的弹出窗口。往年早些时候，因为 XSS 破绽，能够用一个正文来接管 WordPress 博客。
只管他的用意是有害的，并且他发表的博客文章解释了为什么他发射了 Samy 蠕虫，但 Kamkar 最终还是在法律上遇到了麻烦。
在他开释蠕虫病毒六个月后，特勤局和 LAPD 的电子立功工作组一起取得了搜查他的公寓和办公室的命令。当局查封了他的笔记本电脑，三台台式计算机和其余电子设备，例如硬盘。依据加利福尼亚州的刑法，洛杉矶地区检察官正在追捕他，指控他犯有计算机犯罪，特地是用病毒感染计算机系统。
坎卡尔回顾说：“这有点吓人。”“我什至没有高中文凭，所以我真的很放心他们是否试图从我身边夺走计算机。计算机是我惟一的货色。”
“计算机是我惟一领有的货色。”
整整一年，卡姆卡尔的律师和检察官来回走访，切磋辩诉交易。Kamkar 从未被捕，最终认罪，被判处三年缓刑，简直没有计算机拜访权限。坎卡尔说，他只容许应用一台在当局注册的计算机，而不能拜访互联网。
他依然可能在公司的起步阶段负责治理职务，甚至还被邀请加入无关蠕虫的会议和演讲。在 2007 年，他在 OWASP&WASC AppSec 会议上遇到了格罗斯曼，格罗斯曼和他的敌人罗伯特·汉森（Robert Hansen）在那儿呈现了定制的 T 恤，下面写着“萨米是我的英雄”。（相似的衬衫依然能够在线购买。）
Grossman 通知我，因为他在网络安全畛域的影响，Kamkar 加入相似流动时无需领取任何费用。
他说：“咱们在一起 10 年后，我认为他不用为喝酒付费。”
蠕虫感化三年后，2008 年，卡姆卡尔（Kamkar）回到法院，并解除了缓刑。坎卡尔回顾说，他所做的第一件事是返回圣莫尼卡苹果商店并购买笔记本电脑。而后，他去了最近的星巴克，将其关上并连贯到互联网。
然而离线三年后，“我什至都不晓得要去哪里，”他说。因而，他拜访了几个网站，而不是 MySpace，他笑着说，他们花了十分钟在互联网上，而后去看了一些敌人。
Kakmar 说，在 Samy 蠕虫之前，他“十分外向和害羞”，因而“来到计算机的三年实际上对我来说真的很无益，对于始终始终应用计算机的人来说，它使我能够做其余事件。”
然而，一旦回到网上，Kamkar 就有了一些能够破解的新货色和一些新技术的想法。他在 2010 年在拉斯维加斯驰名的黑客大会 DEF CON 上的首次演讲中展现了其中的一些产品。
从那以后，他来到了本人的守业公司，并进行黑客入侵，揭发 Google，Apple 和 Microsoft 如何跟踪客户，以及创立主动劫持无人机，解锁汽车和车库门的设施，所有这些都是以促使公司进入更重视安全性并爱护客户。他的杰出体现，以及即便使在行人士也能轻松实现黑客和信息安全的天才窍门，使他在黑客社区中妇孺皆知。
明天，如果他能回到过来，Kamkar 说他可能不会开释该蠕虫，只管远离计算机三年是一种踊跃的经验，而蠕虫是他成名的号召。
然而，因为 Samy 蠕虫，互联网的情况可能会更好。因而，从某种意义上说，萨米可能依然是英雄。
原文：https://www.vice.com/en_us/ar…
