去年有个做安全的白帽朋友跟我吐槽，说他们公司新来的黑帽灰帽实习生把渗透测试报告写成了“黑客入侵记录”，吓得行政那边差点报警。区别这事听着好笑，白帽但确实暴露了一个问题：很多人分不清白帽、黑帽灰帽黑帽、区别灰帽到底在干什么。白帽帽子颜色不是黑帽灰帽随便分的，背后是区别一整套行为逻辑和法律边界。

白帽黑客本质上是白帽“授权入侵者”。他们动手之前，黑帽灰帽手里一定攥着一份书面授权书，区别上面写清楚了测试范围、白帽时间窗口、黑帽灰帽允许使用的区别手段。我见过一份典型的授权书，连“禁止对生产数据库执行DROP操作”这种细节都列出来了。白帽的工作流程很固定：侦察、扫描、渗透、提权、留后门（证明危害）、写报告、协助修复。每一步都在客户或雇主的眼皮底下进行。报酬方面，大厂的安全岗位年薪几十万到上百万不等，漏洞赏金平台上一份高质量报告也能换几千到几万美金。合法的前提是“知情同意”，这四个字是白帽的命根子。

黑帽恰恰相反。他们不请自来，目的直接——要么偷数据卖钱，要么勒索，要么纯粹搞破坏。2021年Colonial Pipeline输油管被黑，黑客用的是一个泄露的VPN密码，进去之后直接部署勒索软件，导致美国东海岸燃油供应中断。黑帽不关心系统怎么修，只关心怎么把权限变现。他们常用的手法包括钓鱼邮件、零日漏洞利用、供应链投毒。暗网上一个企业网络的初始访问权限能卖到几千到几万美元，取决于目标公司的营收规模。黑帽被抓的代价也很直接：美国《计算机欺诈与滥用法》最高可判20年，国内《刑法》285条、286条同样等着他们。

灰帽卡在中间，最暧昧。他们找到漏洞之后不破坏，但也不一定经过授权。典型操作是：扫到某网站存在SQL注入，进去转一圈，证明能拿到管理员密码，然后给管理员发封邮件——“你的站有问题，给我打钱或者给个致谢，我就告诉你细节”。有些灰帽会直接联系厂商，有些则把漏洞挂到众测平台换积分。问题在于，未经授权访问本身就是违法的，哪怕你什么都没删。2019年有个德国灰帽发现某政府网站漏洞后主动上报，结果还是被起诉了，理由很简单：你进去的那一刻已经触犯了《未经授权访问计算机系统法》。灰帽的动机往往混合了炫耀、正义感和一点点利益，但法律不看动机，只看行为。

三者的边界其实很清晰：授权与否、破坏与否、披露方式。白帽有书面授权，不破坏，按约定披露；黑帽无授权，搞破坏或窃取，私下交易；灰帽无授权（或授权模糊），不破坏，但披露方式随意，可能带条件。我个人的观察是，很多灰帽最后要么转白帽进公司，要么滑向黑帽。中间地带看着潇洒，实际上风险极高——你没法保证每次都能全身而退，也没法保证对方一定领情。

如果你手里有技术，想靠这个吃饭，最稳妥的路是考个OSCP或者CISSP，进甲方安全团队或者乙方渗透测试公司。别碰未授权的目标，哪怕你觉得只是“看一眼”。那一眼的代价，可能比你想象的大得多。