iOS越狱之父发现漏洞获赏1272万元，挖“洞”成程序员致富新途径！ 从程序员到外卖员，徐峥新片讲述一个失业中产的重新出发|群演|编剧|作家|刘美含|电影导演

iOS越狱之父发现漏洞获赏1272万元，挖“洞”成程序员致富新途径！ 从程序员到外卖员，徐峥新片讲述一个失业中产的重新出发|群演|编剧|作家|刘美含|电影导演， 

iOS越狱之父发现漏洞获赏1272万元，挖“洞”成程序员致富新途径！

整理 | 郑丽媛

出品 | CSDN（ID：CSDNnews）

适合程序员的副业有什么？写文章、当技术辅导、开发小程序、接植发代言（bushi）…许多人通过这些副业，长年累月下来，逐渐实现了理想中的“经济自由”。

在这之中，还有一种非常受欢迎的业余赚钱方式：“专找别人茬，奖金自己挣”的漏洞赏金猎人。不论是国外巨头如苹果、微软、谷歌等，还是国内大厂如华为、阿里、腾讯等，均推出了各自的漏洞悬赏计划，即开发者搜寻软件中的漏洞并将之上报厂商，便可获得丰厚奖励。

而这个奖金有多丰厚呢？近来，iOS 越狱软件 Cydia 之父 Jay Freeman 发现一个以太坊关键漏洞，获得了 200 万美元（约人民币 1272 万元）的巨额奖金！

（注：Jay Freeman，著名软件开发人员，被誉为 iOS 越狱之父，开发出了 Cydia 应用商店，可使拥有越狱 iPhone 的用户在 iOS 中下载未经授权的软件。）

创建无数 ETH 代币的漏洞

以太坊 Layer2 解决方案 Optimism 能够大规模处理交易，同时还保有以太坊的安全性，原先仅适用于 Uniswap 和 Synthetix 等特定项目，后于去年年底宣布取消白名单机制：任何用户都可以在 Optimism 上自由部署合约、构建应用程序。但近日，Jay Freeman 发布博客称，他在 Optimism 的 Geth 分叉中发现了一个关键 Bug：攻击者可借此非法创建无数 ETH 代币。

在这篇博文中，Jay Freeman 详细描述了发现该 Bug 的历程及 Bug 的利用方式：“这一 Bug 我愿称之为‘Unbridled Optimism’，它可能会被粗略认为是‘桥’远端的一个漏洞，但实际上这是在 Optimism 上执行智能合约的虚拟机中的一个错误。利用这一 Bug，攻击者可以访问‘桥’远端有效且无限数量的 tokens。”

Jay Freeman 明确指出，Bug 出现在以太坊 VM 中的 SELFDESTRUCT 指令。该指令用于合约自行销毁，移除其账户对象，允许从区块链的活动集中快速清除潜在的大量“过时”状态。当合约进行到 SELFDESTRUCT 指令时，它会指定一个“受益人”来接收它当前拥有的资金。该操作码在 go-ethereum 的 EVM 中实现将余额添加给受益人，然后调用 StateDB.Suicide 将帐户余额清零。

但 Jay Freeman 发现，这一步既不使用 stateObject 的 setBalance 设置器，也不使用共享的 common.Big0 常量，也就是说它除了将对象上的布尔值设置为 true 之外毫无作用，而这意味着“此时的合约仍然存在并继续拥有它之前拥有的代码！”

Optimism 团队在之后的报告中也指出：“该漏洞使得可以通过在持有 ETH 余额的合约上，反复触发 SELFDESTRUCT 操作码以在 Optimism 上创建无数 ETH 代币。”

Bug 尚未被利用，需尽快修复

所幸，Jay Freeman 之后迅速于 2 月 2 日向 Optimism 团队报告该 Bug，而 Optimism 团队通过对 Optimism 链历史的分析，发现除了最初由 Etherscan 员工的一次意外触发（那次没有生成可用的多余 ETH），该漏洞至今还未被利用过。

对于此 Bug 的出现，Optimism 团队解释道：“这个错误源于对 go-ethereum 代码库的修改（旨在保持与旧 OVM 1.0 系统的向后兼容性）。”由于过去一年中 Optimism 用户增长了很多，相比早期发布过程只涉及少数关键基础设施提供商之间的协调，Optimism 团队表示如今发布的复杂性在急剧增加：代码库的桥接器、更多提供商、多个主网分支之间均有涉及。甚至即便发现了 Bug，Optimism 团队也不能立即发布明显的补丁——他们不能冒着有人在升级之前对漏洞进行逆向工程的风险。

在收到漏洞报告并确认漏洞的几小时内，Optimism 团队就对该 Bug 的修复进行了测试，并部署到了 Optimism 的 Kovan 和 Mainnet 网络（包括所有基础设施提供商）。

Optimism 官方提醒，虽目前该 Bug 尚未被利用，但鉴于该 Bug 的重要性，许多易受攻击的 Optimism 分叉和桥接提供商需引起重视，确保尽快升级至 0.5.11 版本的 l2geth。

漏洞赏金计划，或许必不可少

从本次事件可以看出，漏洞赏金计划对于许多大型项目来说或许必不可少。正如 Optimism，逐年增加的用户伴随着愈发复杂的技术，与此同时产生 Bug 的可能性也在日益提升，此时若仅凭数量有限的项目内部人员来搜寻 Bug 无疑十分艰难。

无私发现 Bug 的人固然有，但适当的赏金计划显然更能刺激许多开发者寻找 Bug 的热情与动力，这或许也就是众多大型科技企业或项目均发布了漏洞赏金计划的原因：就在 Jay Freeman 公开本次漏洞的同一天，MakerDAO 还推出有史以来最大的漏洞赏金，最高可奖励高达 1000 万美元。

不过不能否认的是，漏洞赏金计划也曾引发了一些争议：

去年 9 月，向苹果报告了 4 个零日漏洞的 Denis Tokarev 表示，依照苹果安全赏金页面，他所报告的漏洞的价值为 10 万美元，但苹果拒绝支付。

无独有偶，开发者 Jose Rodriguez 此前也曾发推谴责苹果：他所报告的漏洞估值超 2.5 万美元，最终却只被奖励了 5000 美元。

那么，你对漏洞赏金计划有何看法呢？


从程序员到外卖员，徐峥新片讲述一个失业中产的重新出发|群演|编剧|作家|刘美含|电影导演

中年失业、P2P爆雷、房贷断供、老人患病，前大厂员工高志垒的人生突然进入了逆行道。重压之下，他选择成为一名外卖员，而这份工作远比他想象的更辛苦。

灯塔专业版数据显示，截至8月12日18时，由徐峥执导、编剧、主演的影片《逆行人生》票房突破亿元。影片较为真实地反映了当前环境中各个阶层面临的生存困境，它没有美化或消费苦难，而是将重点放在人与人之间的相互看见、理解和尊重。

算法，困住的不止外卖员

8月10日，在《逆行人生》上海站路演活动上，徐峥分享了他在体验外卖员生活时的一个细节：送外卖时，没有一个人认出他来。这让他意识到，其实很多人面对外卖员时，最多只有一个接过外卖的动作，而不会看外卖员一眼。因此影片拍摄了很多外卖员的特写镜头，每一张面孔背后，都写着不同的人生故事。

《逆行人生》从一个城市中产的人生变故和重新出发为切入点。人到中年如高志垒，上有老、下有小，生活的难题接踵而至。故事的一开始，高志垒就被兢兢业业服务十多年的大厂“优化”了，讽刺的是，“优化”他的算法正是他带团队研发出来的。被大厂抛弃之后，“高龄”的现实和高薪的诉求无法匹配，投出的简历石沉大海，高志垒选择成为一名外卖员，而等待他的是一套更加严酷的算法系统。

影片较为真实地反映了外卖员的生存处境。比如平台实行的阶梯工资制度，使得这份工作越来越卷，挣钱越来越难。新人骑手接到的单子路程远、回报低，在熟悉大城市路况和每家餐厅位置之前，需要交许多学费，包括找不到送餐地点、客户取消订单、失联等，而超时意味着差评和扣钱。在倒计时的提示声中，外卖员需要顶着极大的精神压力，争分夺秒地完成取餐送餐的工作。

为了以后能接到性价比更高的单子，他们只能跑更多的单，有人甚至在发生车祸之后，还要担心自己的订单会不会超时。一个有着讽刺意味的镜头中，高志垒因低血糖倒地不起，客户买的活鱼跳进了河，他不仅要给客户道歉、赔付，还要挣扎着对系统里的“微笑考核”露出苦笑，考核不合格的结果是“封号三天”。种种困境的背后，也反思着系统和算法的不合理之处。

这个故事中能够看到丰富而鲜活的外卖员群像，他们从统一的制服背后走出来，书写着各自的人生故事。王骁饰演的“老抠”生活节俭，为的是给身患白血病的女儿筹钱治疗；冯兵饰演的大黑长年拼命霸占“单王”的位置，是为了替另一位因事故致残的年轻外卖员还债；邬家楷饰演的大山从事过群演、NPC等多份职业，他待人热情，也有着自己的爱情理想。尽管算法迫使他们不断内卷，但他们仍旧选择相互扶持，将自己的经验毫无保留地分享给他人。程序员出身的高志垒也发挥自己的技能，在同事们的协助下，设计出了能够帮助大家提升效率的软件。影片的最后，终于抢到“单王”的高志垒说：“我们已经足够努力了，所以我们值得被尊重，值得更好的生活，对吗？”这句话既是诘问，也是呐喊。

用包容的目光看待每一种职业

调查数据显示，包括网约车司机、快递员、外卖员等在内的新就业形态劳动者已达到8400万人。从影片中可以看到，它试图指出一个现实，为人们生活提供便利的劳动者，并没有得到应有的尊重。比如一些商场不允许外卖员从正门进入，只能从狭窄逼仄的专用通道进入。一位填错地址导致外卖员超时的用户，以差评要挟外卖员，命令他大声道歉，高志垒只能照做，因为一次差评就会被平台扣去100元。

徐峥说，他跑外卖的时候，碰到的顾客普遍是通情达理的，“我超了很长时间，对方都会说没关系的，电影有戏剧性。但是，的确也有这样的人以为点了一份东西，就觉得特别了不起”。他补充说道，“平台针对外卖员扣钱是很厉害的，差评一次，之前的很多单都白做”。

演员刘美含在片中饰演一位女性外卖骑手仇晓敏。在准备角色过程中，她特别留意女性外卖员的处境，“她们有不容易的地方，也有快乐的地方。”刘美含对其中一位女骑手的印象很深，“她大学毕业，外卖员是她的第一份工作。她说她很喜欢接单以后，骑着电动车在城市里穿行的感觉，风吹在她的头发上，觉得很自由”。

“女性外卖员有更辛苦的地方，包括体力上也多一些困难，你也会看到有女骑手在老小区里扛着大桶水一口气上六楼，那是非常了不起的女性力量。”刘美含也注意到，有很多人在这样辛苦的工作里找到了职业价值。在她看来，人们应当用更加包容的目光看待身边经常会接触到的职业，多一份体谅和尊重。

关于有观众提出《逆行人生》是否有可能如《我不是药神》那样在社会层面引起反响或改变，徐峥的回应是，电影更多时候不能直接解决问题，而是提出问题，在情感层面引发观众的共鸣和思考。

在徐峥看来，电影改变不了很多现实，但是可以改变人心，这种人心的改变可能会带来一些行动上的变化，比如从给外卖员打好评开始，“在大家都很不容易的日子里，在现实生活脆弱而不确定的时间里面，以最大的善意对待自己，也以这样的善意对待别人，彼此之间互相传递爱和暖意”。