内容摘要：凌晨三点，老周把最后一段payload打进了那个政务系统的上传接口。屏幕上跳出200，他截了图，发到只有五个人的Telegram群，配文：“进了。” 群里没人回。这个点都睡了。老周也不在意，他关掉Bu

凌晨三点，黑帽大神老周把最后一段payload打进了那个政务系统的黑帽大神上传接口。屏幕上跳出200，黑帽大神他截了图，黑帽大神发到只有五个人的黑帽大神Telegram群，配文：“进了。黑帽大神”

群里没人回。黑帽大神这个点都睡了。黑帽大神老周也不在意，黑帽大神他关掉Burp Suite，黑帽大神点了根烟，黑帽大神靠在椅背上盯着天花板。黑帽大神这不是黑帽大神他第一次拿到这种级别的权限，但每次成功的黑帽大神那一刻，他还是黑帽大神会有种说不清的兴奋——像小时候翻墙进学校机房的那种感觉，只不过现在翻的是别人的数据库。

老周不是什么天才。他大学学的会计，毕业后在一家小公司做了三年报表。转折点是2017年那场勒索病毒，公司所有电脑被锁，IT部门束手无策，最后花了八千块找外面的人恢复数据。老周看着那个人敲了几行命令就把事情解决了，觉得这钱也太好赚了。

他花了两年时间自学。从Web安全入门，到SQL注入、XSS、文件上传漏洞，再到内网渗透、域控提权。B站教程看了一遍又一遍，靶场打了几十个，笔记记了四本。第一次挖到漏洞是在一个地方论坛，通过一个老旧的FCKeditor上传了webshell，拿到了服务器权限。那个漏洞当时已经爆出来七八年了，但那个论坛一直没修。

“大部分系统比你想的脆弱得多。”老周说这话的时候正在吃一碗加辣的牛肉面，筷子夹着面条停在半空，“很多甲方觉得装个WAF就万事大吉了，实际上WAF规则绕起来比撕纸还容易。”

他现在接的活儿分两种。一种是正规的渗透测试，签合同、出报告、走流程，甲方给个IP段，他按规矩来。另一种就灰色得多——有人出钱让他“看看”某个站，具体看什么、看到什么程度，双方心照不宣。他不碰金融和医疗，那是底线。政务和企业的单子接得最多，因为“这些系统往往预算花在硬件上，软件安全一塌糊涂”。

去年他帮一个地级市做过一次测试。外网打进去只用了四个小时，内网横向移动花了两天。最后他坐在域控服务器上，看着几千个员工的账号密码明文躺在数据库里，还有人事档案、财务流水、会议纪要。报告交上去之后，对方的安全负责人请他吃饭，席间说了一句让他记到现在的话：“我们知道有问题，但每年预算就那么多，领导觉得看不见的东西不值得花钱。”

老周不认同这种逻辑，但他理解。安全这东西，不出事的时候永远是成本，出了事才叫投资。他见过太多甲方，测试报告写得再详细，修复建议列得再清楚，最后也就改改高危漏洞，中低危的全部忽略。等真被人打穿了，又来问他能不能应急响应。

“你知道最讽刺的是什么？”老周把烟掐灭，“很多漏洞根本不需要多高的技术。默认口令、未授权访问、目录遍历，这些东西我入门第一年就会了。但就是能进。每年护网行动之前，一堆单位临时抱佛脚，改密码、关端口、打补丁，忙得像过年大扫除。”

他现在的收入不稳定，好的时候一个月几万，差的时候颗粒无收。但他没打算转行。“干这行会上瘾，”他说，“每次拿到shell的那一刻，就像开盲盒。你永远不知道里面有什么。”

上个月他接了个新项目，目标是某省的一个三甲医院。外网扫描的时候发现了几个疑似入口，但他还没动手。他说要等，等一个合适的时机，等对方安全设备升级的空窗期。“急不得，”他把手机翻过来扣在桌上，“这行最忌讳的就是贪快。快就是慢，慢就是快。”

窗外天快亮了。老周打开电脑，开始写今天的渗透测试报告。屏幕上密密麻麻的漏洞列表，在他眼里像一张地图，每一条路径都通向某个不设防的房间。