“脚本小子”这个词，脚本具圈内人说出来总带着点轻蔑。小工他们不写漏洞，脚本具不研究汇编，小工甚至搞不清TCP三次握手到底谁先开口。脚本具但就是小工这帮人，用着下载来的脚本具工具，把一个个正经站点的小工后台撬开，留下歪歪扭扭的脚本具“Hacked by xxx”。我见过一个十五岁的小工孩子，用着免费的脚本具SQL注入扫描器，五分钟内扫了三百个网站，小工其中两个有漏洞。脚本具他兴奋地截图发群里，小工配文“菜鸡站，脚本具直接秒”。

工具本身没什么可指责的。Nmap、Burp Suite、Metasploit，哪个不是安全从业者的日常？区别在于使用者脑子里装的是什么。脚本小子把工具当锤子，见谁都想敲一下。他们不读日志，不看返回包，只知道“跑一下试试”。跑通了就欢呼，跑不通就换个工具接着跑。这种操作方式，像极了拿微波炉热泡面——能熟，但永远做不出高汤。

有个朋友在乙方做渗透测试，接到过一个小学生的委托。对方花两百块在某宝买了“黑客教程”，学了两天就来下单，要求“黑掉我们班主任的邮箱”。朋友问他你知道目标邮箱是什么吗？小学生说不知道，但“可以用工具爆破”。朋友哭笑不得，给他解释了半小时什么是授权范围，最后小学生丢下一句“你们大人真麻烦”，转身走了。这事听起来像段子，但真实发生在我身边。

脚本小子最让人头疼的不是技术差，而是那种“我即正义”的幻觉。他们以为点几下鼠标就掌握了网络生杀大权，实际上连最基本的法律边界都摸不着。前年有个案例，某高中生用一款开源的DDoS工具攻击了学校教务系统，导致成绩查询瘫痪三天。被抓后他哭着说只是“想试试工具好不好用”。判刑六个月，缓刑一年。工具还是那个工具，但用的人得为自己的行为买单。

换个角度看，脚本小子其实是安全圈的“学前班”。谁没年轻过呢？我刚开始接触安全时，也拿着别人的exp瞎试，被站长骂过“脚本狗”。但关键在于——试完之后有没有追问一句“为什么”。如果只停留在“能用就行”，那十年后你还是个脚本小子，只不过下载工具的速度变快了。如果肯沉下心去读那几行payload，去翻漏洞公告里的技术细节，恭喜你，你开始从“使用者”往“理解者”的方向挪了。

工具本身是中性的，就像菜刀。有人拿去切菜，有人拿去砍人。脚本小子的问题从来不是“用了工具”，而是“只会用工具”。他们省去了思考的过程，直接跳到结果，却不知道结果背后的逻辑链条有多长。安全行业真正值钱的从来不是某个工具，而是那个能告诉你怎么修、为什么修、修完会不会引入新问题的人。

所以下次再看到有人炫耀“我用XX工具拿下了哪个站”，别急着嘲讽也别急着膜拜。你可以问他一句：“那个漏洞的原理是什么？”他要是答不上来，你心里就有数了——这不过是个刚学会按开关的“脚本小子”罢了。