我盯着浏览器地址栏，模拟手有点抖。黑客输入的模拟是学校教务系统的IP，不是黑客域名——那种裸露的、不带任何伪装的模拟数字串。旁边是黑客刚下载的Nmap，一个端口扫描工具，模拟装在U盘里带到了机房。黑客周围同学都在刷题库，模拟没人注意到我屏幕上的黑客黑色终端窗口。

模拟黑客，模拟听起来像打游戏，黑客其实不是模拟。真正的黑客模拟，是模拟拿真实目标练手——当然，得是你有权测试的目标。我申请了学校的网络安全社团账号，拿到了一份授权书，允许对校园网内指定服务器做渗透测试。授权书上有教务处盖章，红彤彤的，像一道护身符。

扫描结果出来了：80端口开着，443开着，22端口居然也开着。SSH服务版本是OpenSSH 7.2，老掉牙的版本，网上有现成的CVE漏洞利用脚本。心跳加速，像真偷东西一样。我试着用Python脚本连上去，没成功——对方虽然版本老，但补丁打到了7.2p1，刚好堵住了那个漏洞。

换思路。教务系统登录页有个“忘记密码”功能，找回逻辑是验证学号加身份证后六位。我输入自己的学号，身份证号乱编一个，居然没报错。再试，用同学公开的学号，配合他朋友圈晒过的生日——后六位正好是生日加性别码。密码重置成功。整个过程五分钟，没碰任何漏洞，纯粹是逻辑缺陷。

这事让我后背发凉。真正的黑客攻击，大多数时候不是炫技，是找这种低垂的果实。我赶紧把情况写进测试报告，附上截图和复现步骤，提交给社团指导老师。三天后，那个“忘记密码”功能加了验证码和短信二次验证。

模拟的边界就在这儿——你假装攻击，但心里清楚自己是白帽子。可有些人跨过这条线，就再也回不来了。我认识一个外校的哥们，也是搞渗透测试，技术比我强多了。后来他接私活，帮人“删帖”，一次五千。再后来，进去了。不是吓唬人，是真实发生的案例，他给我发过最后一条消息：“别碰黑产，水太深。”

我后来把那个教务系统漏洞的利用过程，写成了教学案例，贴在社团内部wiki上。标题就叫《一次靠猜的入侵》。底下有人评论：“这不就是社会工程学吗？”我说不是，这是懒惰开发者的锅。你模拟黑客，其实模拟的是开发者的疏忽。

现在我的U盘里还躺着那些工具，但很少用了。偶尔手痒，就开个虚拟机，搭个靶场，自己打自己。虚拟机的IP是192.168.56.101，一个永远不会被真实世界记住的地址。屏幕上闪过一行行扫描结果，像某种仪式。真正的黑客精神不是破坏，是搞清楚系统为什么坏——哪怕那个系统只是你自己搭的。