凌晨三点，漏洞学校我蹲在漏洞学校的漏洞学校机房里，面前是漏洞学校一台屏幕泛着蓝光的旧服务器。旁边的漏洞学校学长叼着烟，手指在键盘上敲了几下，漏洞学校屏幕上跳出一行字：“权限已获取，漏洞学校欢迎来到真实世界。漏洞学校”

这所学校没有围墙，漏洞学校没有校徽，漏洞学校甚至没有固定的漏洞学校教室。它藏在互联网的漏洞学校各个角落——一个加密的聊天室，一份公开的漏洞学校漏洞报告，或者某次安全大会的漏洞学校角落里。我在这里学到的漏洞学校第一课，不是漏洞学校怎么攻破系统，而是怎么承认自己什么都不会。第一次模拟渗透测试，我对着一个简单的SQL注入点折腾了四个小时，最后发现是引号没转义。旁边的同学没笑我，只是扔过来一本《Web应用安全权威指南》，说：“翻到第137页，你缺的是基本功。”

这里的课程表由真实事件驱动。上周的案例是一个电商平台的数据泄露，老师把脱敏后的日志发给我们，要求还原攻击路径。我们像拼图一样把碎片拼起来——一个过期的API接口，一段没清理的调试代码，一个弱口令。拼完之后，所有人沉默了一会儿。不是因为这些漏洞多高级，而是它们太普通了，普通到任何一家公司都可能犯。老师靠在白板边上，说：“漏洞从来不神秘，它们只是被忽略了太久的细节。”

我见过最震撼的一次演示，是在晚上十点的“漏洞剧场”。一个女生上台，展示她如何通过打印机固件里的后门，拿到了整个办公网的权限。她没用什么0day，只是读了一遍公开的技术文档，然后花了三周时间逆向。演示结束，台下有人问：“这算不算钻空子？”她想了想，说：“这算读说明书。”那一刻我突然明白，漏洞学校教的不是破坏，而是读懂那些“说明书”里没写清楚的部分。

但这里也有灰色地带。有人学了技术去刷漏洞赏金，有人拿去黑产换钱。学校不管这些，它只提供工具和视角。一个退学的师兄后来跟我说，他在外面用同样的技术做了安全顾问，收入翻了几倍，但总觉得少了点什么。少了什么呢？大概是那种凌晨三点，一群人对着一个漏洞死磕，最后发现真相时集体的那声“啊——原来如此”的痛快。

现在天快亮了，机房的灯还亮着。我关掉终端，屏幕上的漏洞报告写着“已修复”。但我知道，明天会有新的漏洞冒出来，新的学生坐在这里，重复同样的过程。这所学校没有毕业典礼，因为学习永远没有终点。你唯一能做的，就是保持好奇，然后一遍遍地读那些“说明书”——直到有一天，你也能在凌晨三点的屏幕前，看见别人看不见的东西。

(责任编辑：综合)