一年前我選擇和幾個(gè)朋友一起創(chuàng)業(yè)。那個(gè)時(shí)候手上已經(jīng)有好幾份薪水非常誘人的offer，不過(guò)能自己和信賴(lài)的朋友一起做喜歡的事情，我覺(jué)得更棒。

決定去BlackHat的時(shí)候已經(jīng)是2015年6月，當(dāng)時(shí)，BlackHat除了Arsenal以外所有的議題征集已經(jīng)結(jié)束。也感謝當(dāng)時(shí)的陰差陽(yáng)錯(cuò)。我們的目的是想要給SQLChop找一塊試金石，所以這150分鐘的交流和現(xiàn)場(chǎng)測(cè)試對(duì)SQLChop非常有意義。

拉斯維加斯時(shí)間8月5日下午，我剛剛進(jìn)入展位還在和公司的同事一起整理的時(shí)候，就看到人群蜂擁而至，嚇得我趕緊整理思路開(kāi)始講解。

現(xiàn)場(chǎng)的大家對(duì)SQLChop十分感興趣。尤其是ToolsWatch的負(fù)責(zé)人Ouchn，非常有趣的一個(gè)boy，自從看了我們的小視頻之后一直關(guān)注著我們，強(qiáng)行要合影。當(dāng)然，也有不少?lài)?guó)內(nèi)的同行前來(lái)捧場(chǎng)，非常感謝大家的支持。

在這150分鐘里，我們做了什么呢?

1：發(fā)了幾百份小禮品

拿到小禮品的人們總會(huì)把玩一會(huì)兒然后小心翼翼地裝起來(lái)，看來(lái)全世界黑客都喜歡我們長(zhǎng)亭科技準(zhǔn)備的小燈，還寫(xiě)了一段bash腳本用OS X自帶的小程序say來(lái)不停地講“Free gift here”。

2：把SQLChop是干什么的，優(yōu)勢(shì)在哪里講了好多遍

人群一波一波地來(lái)，就得一遍一遍地講，雖然英語(yǔ)口語(yǔ)還算過(guò)得去，但有時(shí)候說(shuō)到一些問(wèn)題的時(shí)候還是會(huì)有些卡殼，還得多練習(xí)。

3：接受了多名黑客的徒手測(cè)試

在現(xiàn)場(chǎng)接受測(cè)試，這是一件風(fēng)險(xiǎn)很大的事，對(duì)全世界那么多優(yōu)秀的黑客談?wù)摲烙?，一不小心就?huì)成為笑柄。

所幸SQLChop表現(xiàn)非常棒，這次的“試金”效果也很好。

“Quite different from the regex one”

“Awesome tool”

“It's very smart”

收到了很多的夸獎(jiǎng)。

4：回答了幾個(gè)問(wèn)題

大家比較關(guān)心的幾個(gè)問(wèn)題，

Q: 能實(shí)時(shí)不?效率咋樣?

A：能，單線(xiàn)程10000請(qǐng)求/秒。

Q：是靠正則實(shí)現(xiàn)的不?

A：不是不是，是用了詞法分析和語(yǔ)法分析，通過(guò)近似算法實(shí)現(xiàn)了一個(gè)SQL語(yǔ)句片段分析引擎。

Q：太好了，去哪可以用?

A：http://sqlchop.chaitin.com

150分鐘結(jié)束后，發(fā)現(xiàn)自己已經(jīng)不會(huì)說(shuō)中文了，十分感動(dòng)。

有碰到前輩跟我講“小伙子們不錯(cuò)啊，自己搞了一年就能把自己的產(chǎn)品帶上BlakcHat”，但我看來(lái)，我們要走的路還有很長(zhǎng)，我們也想給安全行業(yè)帶來(lái)更多的技術(shù)改變。

當(dāng)然，之前承諾會(huì)放出SQLChop的beta版可以前往http://sqlchop.chaitin.com/進(jìn)行測(cè)試與下載。

SQLChop的深度剖析文章地址：http://blog.chaitin.com/sqlchop-the-sqli-detection-engine/