白帽黑客是什么意思
2015年，白帽一个叫Chris Roberts的黑客网络安全研究员在飞机上做了一件让全美航空业炸锅的事——他通过座椅背后的娱乐系统，成功入侵了飞机的什意思推进系统。FBI在他下飞机后把他请去喝了茶，白帽没收了所有电子设备。黑客这事传开后，什意思很多人第一反应是白帽：这人是个黑客吧？但他干这事的目的，是黑客为了在航空安全会议上演示漏洞，逼厂商修补。什意思这就是白帽白帽黑客的日常——用攻击的手段做防御的事。
白帽黑客这个词，黑客英文叫White Hat Hacker，什意思源自西部片里好人戴白帽、白帽坏人戴黑帽的黑客视觉符号。但现实比电影复杂得多。什意思同一个技术，用来偷偷转走别人账户里的钱，叫黑帽；用来帮银行发现转账系统有漏洞，叫白帽。区别不在技术本身，在于授权和意图。
我认识一个做渗透测试的朋友，他的工作流程大概是这样的：客户签合同、给授权书、划定测试范围，然后他开始模拟真实攻击者的手法，尝试突破客户的网络防线。找到漏洞后不声张，写详细报告，告诉客户“你这里有个洞，攻击者可以这样利用，建议这样修”。整个过程合法、透明、有据可查。他跟我说过一句话：“黑帽挖洞是为了自己进去，白帽挖洞是为了让别人进不去。”
但这条线有时候挺模糊的。有些漏洞 bounty 平台上的白帽，在厂商没及时回应的时候会把漏洞细节公开，这算不算越界？争议一直存在。还有那种“我先黑了你的系统，但我没恶意，你得感谢我”的行为，法律上基本站不住脚。Roberts那个案子最后他认了罪，被判了缓刑加社区服务。动机纯不纯，和合不合法，是两码事。
国内这几年白帽文化慢慢起来了。各大厂商都有自己的应急响应中心，白帽提交漏洞拿积分换礼品或者现金。每年各种安全大赛，CTF比赛里那些年轻人，攻防转换快得让人眼花。有个现象挺有意思：很多顶尖白帽的起点，就是小时候想黑进游戏服务器给自己刷装备，后来发现防守比进攻更有意思，就转了方向。
这活不好干。要懂网络协议、操作系统、编程语言，还得有耐心。有时候为了一个漏洞，盯着几千行代码看几天。报酬呢？顶尖的白帽年入百万不稀奇，但大部分普通从业者也就是一份正常工资。真正驱动他们的，是那种“我找到了别人没发现的东西”的快感，以及“我让这个世界稍微安全了一点”的实在感。
如果你对这方面有兴趣，别急着去下什么黑客工具。先把计算机网络那本书翻烂，把Python学好，然后在合法平台上练手。记住一件事：未经授权的入侵，不管你想干什么，都是犯罪。白帽和黑帽之间，隔着的不是技术高低，是一张授权书和一条法律线。