从 2002 到 2027：我写了十一本书，其实是同一本书的十一个版本

原创

simeon的文章
simeon的文章

小兵搞安全

2026年10月21日 09:25
北京

去阅读

二十多年，十一本书。把它们按出版时间排开，能看到一条很少在别人身上出现的线：这十一本不是十一个题目，是同一本书的十一个版本——每一本都在重写上一本没说清楚的东西。这篇不讲技术，讲这条线是怎么变的。看懂了这条线，就看懂了这个号以后要写什么。

二〇〇八年，我交出了第一本安全书的稿子。

那时候我以为自己是在做\"总结\"——把这些年攒下的案例整理成册，让它有个去处。编辑收了稿，也没多说什么。

写到第四本、第五本的时候，我才慢慢意识到一件事：我不是在总结，我是在重写。每一本都在重写上一本没写清楚的东西。

第一本其实不是安全书

很多人以为我的第一本书是攻防，其实不是。最早那本，教的是 SQL Server 2000。

这个起点解释了很多事。数据库出身的人看安全，和从网络、从系统入门的人，角度是不一样的。别人先看到\"这个口子能进\"，我先看到\"数据放在哪、谁能读、读完之后痕迹留在哪\"。

那时候 SQL Server 2000 还是主流，装完一堆补丁，默认配置就能直接连。今天回头看，那本书里的绝大部分操作已经无法复现了——系统不存在了，工具不兼容了，连默认端口都变了。

但我一直留着它。因为它记录了一个事实：我是从\"数据怎么被保护\"这个地方出发的，不是从\"怎么打进去\"出发的。这个起点在十几年后变得相当重要。

书和书之间，还隔着上百篇杂志文章

在写这些书之前和中间那几年，我一直在给杂志供稿——《黑客防线》《黑客X档案》《网管员世界》，后来还有《开放系统世界》《视窗世界》。前前后后，一百多篇。

这些杂志，大多已经停刊了。今天入行的安全从业者，很多人没听说过它们。但在当年，那是这个圈子里技术传播几乎唯一发生的地方：一个月出一期，一篇讲一件事，几千字封顶，写不完也得收住。

没赶上那段日子的人，可能很难想象那种\"火\"。2010 年以前，安全类杂志就是圈子里的硬通货：《黑客防线》《黑客X档案》每期一出，一群人传着看，一本杂志在机房里能传到卷边；有人靠它入行，有人照着它敲出了人生第一行漏洞验证代码。那时候没有短视频，没有技术社区，一本月刊就是整个圈子的技术节拍器——它出一期，这个圈子就往前走一步。2015年《黑客防线》出到总第 174 期，你能想象吗，一本黑客杂志，认真出了十五年（时间太久了，后续的没有收集了）。

杂志教会我的东西，书反而没教过。第一，篇幅被砍到几千字的时候，你才知道哪些东西是真正要紧的——书里可以铺陈，杂志里只能直给。第二，读者来信比稿费真实：有人照着你写的没走通，来信问，你才知道自己漏讲了哪一步。第三，定期交稿不能拖——那是我人生里第一次被\"更新频率\"管着，一管就是好几年。

还有一样东西，当时没觉得，这些年越想越重。《黑客防线》的封面，一期一期印着同一句话：\"在攻与防的对立统一中寻求突破。\"当年只当是句口号，印在封面上好看。

现在回头看，那是中国第一代安全人最早的方法论——攻和守从来不是两个行当，是同一件事的两面。我后来职业生涯里所有\"既做攻、也做守\"的选择，兜兜转转，起点都在这句话里。总编辑在卷首语里劝年轻人\"把十年作为一个目标来规划，十年之后必成大器\"——当年读着像场面话，后来发现，成不成器，真的就是十年见分晓。

后来写书、写文章用的那个\"一篇只讲一个点\"的习惯，都是在那几年练出来的。那些泛黄的杂志我现在还留着，偶尔翻一下，像在看另一个人——他写得真嫩，但每篇都交了。

2008：我以为案例就是全部

第一本攻防书是案例集，八章，一个案例接一个案例。当时我的想法非常朴素：把做过的事写清楚，读者照着看就能学会。

这本书今天基本没有可重制的价值了，技术全过时。但它教会我一件事，而且是反着教的：

案例是最容易写的，也是最容易被忘的。读者看完一个案例，记住的是那个漏洞，不是那个判断。等漏洞补了，判断也就一起丢了。

2011：把点连成面

三年后写《Web 渗透技术及实战案例解析》，我改了组织方式——不再按案例排，按目标排：上传、注入、0day、提权四大块。

这是第一次有了\"结构\"。同样是讲渗透，从\"我做过什么\"变成\"这类问题分几种\"。

今天全网流通的 Web 渗透教材，骨架大多还是这一套。这件事我既骄傲也警惕——一套结构被用得太久，说明这个领域很久没有新问题了。

2015：第一次写\"防范\"，才发现自己一直只写了一半

《安全之路》第二版是我自己最看重的一本。原因不是它最全，而是它第一次有了\"安全防范\"这一章。

写那一章的时候，我卡了很久。因为写攻击我知道怎么写——找到口子，验证，写清楚。写防范完全是另一套思维：不是\"哪里能进\"，而是\"你根本不知道哪里能进，怎么办\"。

那是我第一次意识到，攻击思维和防守思维不是同一件事的正反面，它们是两种完全不同的能力。攻击讲的是\"找到一个点\"，防守讲的是\"在没有确定性的情况下分配有限的资源\"。

这个转变后来直接影响了我对安全的整个判断。也影响了我后面十年的职业选择。

2016 和 2017：从面收到点

接下来几本，方向反过来了——不再求全，收窄。

《加密与解密》只写加密这一层，《密码分析与研究》只写密码，八章按密码类别排：系统、数据库、远控、文件、路由器。《漏洞利用与提权》只写一个环节。

为什么收窄？因为\"全面\"这件事，书一旦出版就已经过期了。一本讲全面的书，出版那天就是它最全的一天。而一本讲纵深的小书，可以活很多年。

密码那本尤其如此。技术细节会过时，但\"口令这件事二十年没有实质进步\"这个判断不会过时——它跟技术无关，跟人的行为有关。

2019 到 2021：一本书，只写一个工具

再往后四本，收窄到了极致：《Web 服务器渗透实战技术》，只写一类服务器；《sqlmap 从入门到精通》，一本书只写一个工具；《MySQL 数据库攻击与防御》，只写一个数据库；《Web 渗透攻防实战》，把 2011 年那本的骨架重写了一遍。

写 sqlmap 那本的时候有人觉得小题大做——一个工具值得一本书吗？值得。工具每年都在换，用工具时的判断十年没变过。把一个工具写到头，写出来的其实不是工具，是判断。

顺带一提，sqlmap 那本和明年的新书，是同一家出版社。五年里，他们看着我把同一条线越写越深。

2027：回到面，但这次是另一种面

新书是《内网渗透技术及实战》，十章，三百多个小节，明年出版。

看起来是又回到\"大而全\"了。但内网和 Web 不是同一种\"面\"。Web 渗透的边界是网站，内网渗透的边界是一整个组织的关系——谁能访问谁、信任关系怎么建、权限怎么继承、日志怎么流转。

这也是为什么这本书我写得最慢。它不是技术变难了，是需要理解的东西从\"系统\"变成了\"组织\"。

十一本书，真正的主题只有一个

把这十一本摊开放在桌上，能看出一条线：

案例集 → 按目标组织 → 体系化 → 单点纵深 → 一本书只写一个工具 → 组织级

形式一直在变，但每一本都在回答同一个问题：一次入侵，到底取决于什么？

最早的答案很具体：取决于哪个漏洞没补。后来变成：取决于哪个环节没做防护。再后来变成：取决于这个组织的判断力——它知不知道自己的资产在哪、谁有权限、出了事能不能看出来。

这个答案变了十次，一次比一次抽象，也一次比一次更接近真相。

如果这二十年只留一句话，是这句：技术会过期，判断不会。

为什么现在开始写第十二个版本

书有一个绕不过去的限制：出版周期一年起，等它出来，写的时候最新的那部分已经旧了。

所以第十二个版本放在这里。它没有目录约束，不用凑章节，可以只讲一个点；也可以今天想到，明天就发。

写到这里我自己也笑了：这个形态，绕了二十年，又绕回了杂志——定期更新，一篇只讲一件事。变的只是刊物从纸质换成了公众号，读者从邮局订变成了点关注。技术传播兜了一大圈，回到了它最早的样子。当年停掉的那些杂志没能等到的东西，希望在这里能等到。

这个号会写三类东西：攻，渗透实战里的判断；守，甲方视角怎么建防线、怎么要预算；判，一件事在什么情况下会变成案子、代价是什么。

这三件事我在三个地方各干了几年——部队、公安、大厂。合起来二十年，也是这四个字的由来：小兵搞安全。到今天还是个兵，只是打的仗换了。

如果你也是从某个\"点\"入行的，欢迎在留言里说说你从哪儿开始的。我很想知道，二十年后的安全从业者，起点是不是还是那几样。