步入安全测试（兼谈个人测试技术发展轨迹）

进入测试领域已经满四年了，最近感觉自己可能有点里程碑似的改变了，因此回顾一下四年的测试技术发展轨迹供大家分享。

有个网友说的很好，从测试的难度上来讲应该是自动化测试<性能测试<安全测试。我从来都是忽略性能测试的，原因也很简单，因为我基本没有从事过跟性能测试相关的工作，谈不上什么理解与感受。但是，我还是能感觉到性能测试的难度确实要大于自动化测试。一两年前还在热烈地跟大家讨论自动化测试的重要性，如何自动化测试等等，现在已经觉得没什么意思了。手工测试，自动化测试，黑盒测试，白盒测试，等等不过都是一种种测试方法而已，我们的目标很简单，就是要发现bug。而在发现bug的过程中，你是不可避免的要用到任何可能的测试方法和测试工具，包括自己编写测试工具。单纯地讨论他们孰优孰劣，哪个更高级并没有根本的意义。下面回顾一下自己的四年测试发展路径。

• 第一个半年忙于手工黑盒测试 （很枯燥）
• 第二个半年开始考虑自动化测试 （很迷惘和无奈）
• 一年之后有一些自动化的ideas， 学习C#, .NET, TestComplete 等等，把自己设计的自动化平台实现 （自己对自动化有一些自己的理解和实践）
• 一年半之后在以前的基础之上开始寻找更高端的测试职位，实际就是寻找专门的自动化测试的职位 （选择面很小，适合自己的也没几家公司，尤其是在国内,被迫出国发展）
• 将近两年的时候如愿以偿，入职自动化测试的职位 （开始把自己对自动化的理解和新的公司和同事交流，发现还是match的）
• 入职之后的一年内，也就是进入测试的第三年，在自动化测试方面有了大量的工作经验 （觉得自动化测试还是比较简单的工作）
• 进入测试的第四年开始按照老板的要求进行debugging 和 code review 的工作 （在自己的feature上做到了测试支柱）
• 四年之后也就是现在忽然发现自己有了比较大的进步，把以前零零散散的东西都能够联系起来了，感觉自己真正的走入了right path。最近一两个月的提升好像顶以前半年的，debugging技术已经比较熟练，code review也觉得比较轻松，并且在debuging和code review的过程中任何不明白的东西都会尽力去搞明白，这样在C语言，Win32，Windows Kernal，汇编，编译，还有Security方面都有了一个突然提升，在脑海里这些东西变得立体起来。也是最近才明白为什么以前director给我的建议是“短期学好C语言，长期也是学好C语言了”。

以前也曾经hack过一个网站，并且在与那个网站的developer的较量中明显占据了上风。以前也曾经发现过security的bug，但是基本属于瞎猫碰倒死耗子的情况。周六晚上突然有点idea,由于太晚就没有回公司。周日早上5点多睡醒脸也没洗就去了公司，一直工作到12点多，file上了bug。其实大概工作了一两个小时就攻击成功，可以远程把一个server crash掉。但是为了弄明白里边的一些情况以及这个漏洞的范围和黑客攻击的难易程度，又花了大量的时间。

终于有了一些安全测试的感觉了，而回想起来也完全是由于前几年测试工作中知识，技术和经验的积累所成就的。以前一直觉得没有多年开发经验的不太可能做到安全测试，现在自己证明也未必，虽然确实不容易。最近两年由于英文的障碍使得自己的发展慢了不少,虽然也是average的速度，有些遗憾。更大的遗憾在于我30岁之前浪费了太多的光阴了，不说大学之前，就是大学之后到30岁的这段工作时间也基本上是浪费，没有真正地去深入过任何领域。30岁之后才寻找到了自己正确的道路，是有些悲哀，但总比没有找到强。我知道很多测试同行都像我以前那样迷惑，迷惘。希望大家在黄金年龄的朋友不要让青春太快的流走，抓紧时间去寻找自己的道路吧。

 

我开始寻找我的发展之路了。