每天活跃在互联网上的应用成百上千万，包括PC端以及目前越来越主流的移动端，不仅有通过浏览器访问的，还有需要安装客户端的，不仅有与服务器强交互的，还有独立运行的本地软件。
而这其中，开源的（包括开放源码的）产品少之又少。但，这并不妨碍一个黑客找出其中的漏洞。换句话说，找漏洞并不需要源码。
当然了，在有源码的情况下，挖洞是一件难度系数指数下降的事情。虽然读懂一个大型软件源码耗时又耗力，但对于黑客来说，可以略去其中大半的代码来阅读，只关心可能造成危险的部分。就像一名建筑工程师看一份大楼的施工图，要看懂大楼的结构、建筑材料、水电线路等等各方各面，而对于《Prison Break》中的Michael Scofield可能只关心地下管道的分布。
那么，在没有源码的情况下，黑客怎么挖洞呢？这种情况，大家可以称之为黑盒。而挖洞，的确需要与程序编辑者持有完全相反的角度和看法。对于输入输出点，程序猿考虑的是正确的输入获得正确的输出，而黑客则考虑特殊的非法输入获得异常的有价值输出。那系统登录来说，程序猿考虑的是用户输入注册的用户名、口令能够在登录时与数据库中的数据匹配成功，而黑客则会尝试引起数据库查询异常的输入作为用户名、口令内容，希望应用返回更多数据库中的有效数据。
对于黑客来说，不知道源码情况下，只要有输入就可以了，不管是应用具有的功能页面，还是一个输入接口，通过一种叫做模糊测试的技术就可以开始你的挖洞之旅。模糊测试可以构造一系列正常和异常的输入值，根据应用的返回来判断脆弱点的存在。
在黑客的武器库中，模糊测试只是其中一个利器，像什么漏扫、逆向、脱壳、注入、暴破等等不一而足。
作为程序猿，在编写程序时不仅要从正向角度完成应用的功能，还需要从黑客角度逆向分析应用在处理异常输入时的反应，才能做出高安全的应用。
k8s mysql，mysql主从原理配置，mysql与net集成，mysql工具怎么创建表，mysql上课笔记，windows mysql错误日志