萨米不想成为每个人的英雄。他甚至都不想要新敌人。

然而因为几行奇妙的代码，在不到一天的工夫内，他成为了过后最风行的在线社交网络上超过一百万人的“英雄”和“敌人”，我的空间。

大概在2005年10月4日午夜，在洛杉矶，过后19岁的黑客Samy Kamkar开释了起初被称为“ Samy蠕虫”的病毒，它可能是传播速度最快的计算机病毒。一次，这种病毒永远扭转了网络安全的世界。

Kamkar于16岁高中毕业，并在17岁时创建了一家名为Fonality的软件守业公司。他说，他只是想感动他的技术敌人，仅此而已。一切都在一周前开始，坎卡尔通知我。过后，MySpace为用户提供了许多自定义配置文件的自在，从而容许应用HTML代码，这导致了色调丰盛，而且查看配置文件通常很麻烦。

“一旦我可能做到这一点，我意识到我实际上能够在页面上做任何事件。”

然而，并非MySpace上的所有内容都是齐全可定制的。例如，用户只能上传12张照片。有方法解决吗？Kamkar他开始到处游荡，试图看看他是否能够坑骗MySpace做网站不应该让用户做的事件。他很快找到了办法并上传了13张照片。

当波及到“关系”字段时，用户也只有多数抉择。有一个带有规范选项的下拉菜单：已婚，独身，恋爱中，还有其余几个选项。过后有个女朋友的坎卡尔（Kamkar）心愿可能抉择“亲密关系”。随着更多的黑客入侵，他也这样做了。

“当我可能做到这一点时，我意识到我实际上能够在页面上做任何事件，”他通知母板，回忆起那个重要的夜晚。

SAMY KAMKAR在洛杉矶家中的计算机上工作。图片：主板

在接下来的一周中，Kamkar编写了一个脚本，该脚本对于任何其余用户都是不可见的，并将迫使所有拜访他的个人资料的人将他增加为敌人。该脚本还将在该人的个人资料的“我的英雄”类别下增加一行：“但最重要的是，萨米是我的英雄。” Kamkar意识到，如果脚本只对页面的访问者无效，那么他将涉及的人很少，因而，他对脚本进行了编程，使其也能够复制到访问者本人的个人资料上。

那时，他制作了一种自流传蠕虫。

他通知我：“我认为一个月内我会失去100或200个敌人。” “其中有些人会埋怨，我将其删除，仅此而已。没什么大不了的。”

第二天早上，他醒来，有200个敌人申请。那是他“吓坏了”的时候，因为蠕虫的传播速度比他设想的要快。一小时后，申请数量减少了一倍，而后呈指数级增长。那时，卡姆卡说他以匿名形式向MySpace发送电子邮件，揭示他们该蠕虫以及一种阻止蠕虫的办法，但他没有回音，直到明天，他依然“不晓得”是否有人真正看到了该电子邮件。

到下午1:30，他曾经积攒了超过2500个敌人，并收到了6,000多个申请。

坎卡尔在当晚发表的博客文章中写道：“这曾经失控了。人们向我发消息说，因为我的名字被列入了他们的'英雄'名单，他们曾经举报我为'黑客'。” 产生了 “显然，人们之所以怄气，是因为他们从敌人列表中删除了我，查看了其他人的页面甚至本人的页面，并立刻被我再次感化。我统治。”

他补充说：“我心愿没人起诉我。”

几个小时后，Kamkar在Chipotle买了墨西哥卷饼，而后回家再次查看他的MySpace个人资料。那时他有近一百万个敌人的申请。

KAMKAR的MYSPACE个人资料的屏幕截图，摄于2005年10月5日。图片：SAMY KAMKAR

他在博客中写道：“这是官网的。我很受欢迎。”

在MySpace解体之前的几分钟，这个数字攀升至超过一百万。该公司必须使站点脱机以查明产生了什么并革除蠕虫。

坎卡尔通知我：“我感到十分蹩脚。我真的很惆怅。” 然而那时他什么也做不了-一旦开释了蠕虫，就曾经太迟了，因为蠕虫会自行流传。大概两个小时后，该站点恢复正常。他的个人资料已被删除。

KAMKAR在2010年于拉斯维加斯举办的BLACK HAT平安会议上发表演讲。

事件产生几个月后，Myal负责平安总监，库纳尔·阿南德（Kunal Anand）说，在萨米蠕虫病毒袭击时，该公司“简直没有平安团队”，并且“不晓得该怎么办”。

没有人能看到像Samy的蠕虫一样的货色。这是一个“行业分水岭的时刻，” Anand通知我。

网络安全专家，WhiteHat Security公司的创始人Jeremiah Grossman说，Samy蠕虫是“该行业中的每个专家都在期待的时刻之一”。

Kamkar的蠕虫只管迅速流传，但最终还是有害的：所做的只是与他成为敌人，并在感染者的个人资料上加上了几句话。然而，如果卡姆卡已经是罪犯，或者怀有更刁滑的用意，那么他本能够接管他们的账目。正如格罗斯曼（Grossman）所说，坎卡尔（Kamkar）“有能力去做他想做的任何事件”。

年老的黑客应用的技术称为跨站点脚本攻打，通常缩写为XSS，攻击者将恶意代码注入网站，诱骗该站点以及用户的浏览器来执行代码。据格罗斯曼称，理解网络安全的人们都晓得，能够像坎卡一样攻打大多数站点，然而直到Samy蠕虫之前，没有人认真对待这一威逼。

“（萨米）永远扭转了这个行业。”

格罗斯曼在电话中通知我：“过后，这是一种十分令人赞叹的破绽。咱们晓得每个站点都存在该破绽，但没有人真正展现出您能够应用该破绽做什么。” “萨米做到了，他永远扭转了这个行业。”

Grossman认为，在产生Samy蠕虫时，80％到90％的网站容易受到相似攻打。这个问题引起了人们的极大关注，以至于Open Web Application Security Project致力于为站点创立API，以使用户能够应用其页面上的代码而不会裸露于XSS破绽（它们称为AntiSamy Project）。

依据WhiteHat的平安机构2015年收集的数据，十年后，只有47％的网站可能具备雷同的破绽。如果没有Kamkar蠕虫引起的留神，兴许这依然是一个更广泛的问题。

在将来的几年中，网站和浏览器将加强其针对跨站点脚本攻打的安全性，然而依然存在一些值得注意的攻打。例如，在2013年，因为相似的破绽，几个Yahoo用户的电子邮件帐户被劫持。去年，黑客在Tweetdeck中发现了一个XSS谬误，使他们可能强制厌恶的弹出窗口。往年早些时候，因为XSS破绽，能够用一个正文来接管WordPress博客。

只管他的用意是有害的，并且他发表的博客文章解释了为什么他发射了Samy蠕虫，但Kamkar最终还是在法律上遇到了麻烦。

在他开释蠕虫病毒六个月后，特勤局和LAPD的电子立功工作组一起取得了搜查他的公寓和办公室的命令。当局查封了他的笔记本电脑，三台台式计算机和其余电子设备，例如硬盘。依据加利福尼亚州的刑法，洛杉矶地区检察官正在追捕他，指控他犯有计算机犯罪，特地是用病毒感染计算机系统。

坎卡尔回顾说：“这有点吓人。” “我什至没有高中文凭，所以我真的很放心他们是否试图从我身边夺走计算机。计算机是我惟一的货色。”

“计算机是我惟一领有的货色。”

整整一年，卡姆卡尔的律师和检察官来回走访，切磋辩诉交易。Kamkar从未被捕，最终认罪，被判处三年缓刑，简直没有计算机拜访权限。坎卡尔说，他只容许应用一台在当局注册的计算机，而不能拜访互联网。

他依然可能在公司的起步阶段负责治理职务，甚至还被邀请加入无关蠕虫的会议和演讲。在2007年，他在OWASP＆WASC AppSec会议上遇到了格罗斯曼，格罗斯曼和他的敌人罗伯特·汉森（Robert Hansen）在那儿呈现了定制的T恤，下面写着“萨米是我的英雄”。（相似的衬衫依然能够在线购买。）

Grossman通知我，因为他在网络安全畛域的影响，Kamkar加入相似流动时无需领取任何费用。

他说：“咱们在一起10年后，我认为他不用为喝酒付费。”

蠕虫感化三年后，2008年，卡姆卡尔（Kamkar）回到法院，并解除了缓刑。坎卡尔回顾说，他所做的第一件事是返回圣莫尼卡苹果商店并购买笔记本电脑。而后，他去了最近的星巴克，将其关上并连贯到互联网。

然而离线三年后，“我什至都不晓得要去哪里，”他说。因而，他拜访了几个网站，而不是MySpace，他笑着说，他们花了十分钟在互联网上，而后去看了一些敌人。

Kakmar说，在Samy蠕虫之前，他“十分外向和害羞”，因而“来到计算机的三年实际上对我来说真的很无益，对于始终始终应用计算机的人来说，它使我能够做其余事件。”

然而，一旦回到网上，Kamkar就有了一些能够破解的新货色和一些新技术的想法。他在2010年在拉斯维加斯驰名的黑客大会DEF CON 上的首次演讲中展现了其中的一些产品。

从那以后，他来到了本人的守业公司，并进行黑客入侵，揭发Google，Apple和Microsoft如何跟踪客户，以及创立主动劫持无人机，解锁汽车和车库门的设施，所有这些都是以促使公司进入更重视安全性并爱护客户。他的杰出体现，以及即便使在行人士也能轻松实现黑客和信息安全的天才窍门，使他在黑客社区中妇孺皆知。

明天，如果他能回到过来，Kamkar说他可能不会开释该蠕虫，只管远离计算机三年是一种踊跃的经验，而蠕虫是他成名的号召。

然而，因为Samy蠕虫，互联网的情况可能会更好。因而，从某种意义上说，萨米可能依然是英雄。

原文：https://www.vice.com/en_us/ar...