# 一个最早发现 Windows 8\.1 漏洞的男人

- 作者：杜会堂
- 发布时间：2013-10-12 17:17
- 分类：特稿
- 原文：https://www.ifanr.com/359330

[![James-Forshaw-2357158](https://s3.ifanr.com/wp-content/uploads/2013/10/James-Forshaw-2357158.jpg)](https://s3.ifanr.com/wp-content/uploads/2013/10/James-Forshaw-2357158.jpg)

英国人詹姆斯·福肖 (James Forshaw) [刚刚获得](http://www.mirror.co.uk/news/uk-news/microsoft-pays-james-forshaw-100000-2357167)微软的一笔奖金——整整 10 万美元。

今年 6 月，Windows 8.1 和 IE11 预览版发布后，为了更好地测试产品，微软宣布了一项奖励计划：任何在 Windows 8.1 预览版中发现重大安全漏洞的用户，都可以获得 10 万美元奖金。10 月 8 日，微软在[博客上宣布](http://blogs.technet.com/b/bluehat/archive/2013/10/08/congratulations-to-james-forshaw-recipient-of-our-first-100-000-bounty-for-new-mitigation-bypass-techniques.aspx)，福肖成为首个获得 10 万美元奖金的人。

现年 34 岁的詹姆斯·福肖住在伦敦，地道的英式口音让他有点像老式的英伦绅士。福肖是科技安全公司 [Context 的研究员](http://www.contextis.com/)，同时还是名“白帽黑客”——这个带有浓重“江湖色彩”的称谓指的是通过测试网络安全性能赚取佣金的黑客群体，苹果创始人沃兹尼亚克 (Stephen Wozniak) 和 Linux 系统之父林纳斯·托瓦兹 (Linus Torvalds) 都是个中高手。

这次发现的漏洞可以让黑客绕过 Windows 8.1 设置的安全防护，进而侵入整个系统。不过福肖没有透露具体的漏洞细节。

主要原因是微软不愿透露。微软安全部门主管凯蒂·穆索瑞斯 (Katie Moussouris) 说，公司希望在解决这问题后再予以公开，以防黑客据此侵入用户系统。微软工程师托马斯·加尼尔 (Thomas Garnier) [也发现了](http://blogs.technet.com/b/bluehat/archive/2013/10/08/congratulations-to-james-forshaw-recipient-of-our-first-100-000-bounty-for-new-mitigation-bypass-techniques.aspx)这个漏洞，眼下正在紧锣密鼓地修补。

至于为何要为一次安全漏洞支付如此昂贵的费用？微软[在博客上解释说](http://blogs.technet.com/b/bluehat/archive/2013/10/08/congratulations-to-james-forshaw-recipient-of-our-first-100-000-bounty-for-new-mitigation-bypass-techniques.aspx)，了解新的缓解绕行漏洞可以帮助公司抵御恶意攻击，强化整个平台。黑客越来越难利用系统的 Bug 进行攻击，从中受益的的不仅仅是微软。

[![1381280795980](https://s3.ifanr.com/wp-content/uploads/2013/10/1381280795980_thumb.jpg "1381280795980")](https://s3.ifanr.com/wp-content/uploads/2013/10/1381280795980.jpg)

福肖说，发现这个漏洞花去了他整整三周半时间。“最早冒出这个想法时，我正盘腿坐在家里，考虑自己能做点什么。整个（漏洞查找）过程中充满太多的绊脚石，它们完全可以把你卡在半道上。（记住）一定不要太兴奋、太快速。”

成功后的福肖目前正在赶去参加一项安全会议。在发现 Windows 8.1 安全漏洞之前，福肖已经是查找系统 Bug 的高手，曾经在惠普系统中发现的大型安全故障还让他获了奖。

这次经历给他带来了更大的曝光度，《卫报》[两次报道](http://www.theguardian.com/technology/2013/oct/10/microsoft-100000-british-researcher-windows-bug)了他。不过福肖没有因此沾沾自喜，谦虚的福肖说，微软安全部门也在积极地查找产品漏洞，但有时因为距离太近反而看不到全部。“你需要走回去，重新审视整套产品以及它的交互设计，然后再寻找隐藏的漏洞。”

“人是不可能不犯错的，没有人能写出完美的代码。”[福肖说](http://www.theguardian.com/technology/2013/oct/11/microsoft-bug-hunter-100000-bounty-james-forshaw)，“我和微软的关系很友好，在此之前已经向他们提交过多款 Bug。”

在谈到如何处理 10 万美元的巨额奖金时，福肖说如果因此退休还为时尚早。类似的奖赏要交出大部分给公司，即便公司不要，税收也会扣除很多奖金。“它真的不是一笔能够改变生活的巨款。”

过去十年在安全发展和研究领域，福肖已经和若干重大问题交过手，其中需要的探究技术和创造力让福肖沉醉不已，这才是让他深深着迷的东西。

题图来自 [Mirror](http://i2.mirror.co.uk/incoming/article2357158.ece/ALTERNATES/s615/James-Forshaw-2357158.jpg)