凌晨两点，有卖一个ID叫“暗流”的有卖用户在技术论坛私信我：“兄弟，有卖webshell的有卖渠道吗？要过安全狗的。”我盯着屏幕愣了几秒，有卖不是有卖因为问题本身，而是有卖他问得太熟练了——像在便利店问有没有卖口香糖。

这不是有卖我第一次碰到这种事。去年帮朋友排查服务器入侵，有卖登录日志里躺着三百多次爆破记录，有卖攻击者最后留下的有卖后门文件叫“cache.php”，伪装成缓存脚本，有卖代码里藏着一句注释：“感谢老板赏饭”。有卖你看，有卖连黑客都学会黑色幽默了。有卖

webshell这东西，有卖说白了就是网页版的“万能钥匙”。你往服务器上扔一个，就等于给自家后院开了扇后门，只不过开门的不是你家钥匙，是别人配的。卖这玩意的渠道暗网里有，电报群里也有，甚至某些二手交易平台挂个“网站源码测试”的链接，点进去全是马。

价格更是离谱。一套过狗（过安全狗软件查杀）的基础马，行情价在200到800之间。定制版——比如针对某银行内网系统的——能炒到五位数。有个做运维的老哥跟我说，他见过最狠的卖家，直接按“月付”收费，包更新包免杀，跟卖杀毒软件似的，只不过方向反了。

最讽刺的是供需关系。买的人分三种：一种是纯粹好奇的脚本小子，买来练手，进个站截个图就心满意足；一种是搞黑产灰产的，拿webshell当跳板，拖库、勒索、挖矿，一条龙服务；还有一种是安全公司的“白帽”，买来研究特征库，好写检测规则。第三种人买得最理直气壮，但往往也最穷——公司预算批不下来，自己垫钱买样本。

我认识一个做渗透测试的朋友，他电脑里存着上百个webshell样本，全是这些年从各种渠道“淘”来的。他跟我说过一句大实话：“你以为卖webshell的赚的是技术钱？错，赚的是信息差。真正值钱的是那些0day，但0day没人敢公开卖，只能私下换。webshell这种量产的玩意儿，拼的就是谁更新快、谁免杀强。”

这话糙理不糙。现在卖webshell的甚至搞起了“售后服务”——买家遇到网站升级导致马失效，卖家远程指导修复。有的还提供“保险服务”，马被查杀了免费补发。这服务意识，比某些正版软件厂商都强。

可问题在于，这种买卖没有售后纠纷解决机制。买家中招了只能自认倒霉——有个小站长贪便宜买了个打折马，结果马本身带后门，植入没几天，连自己的服务器都被别人接管了。他在论坛哭诉：“我买的是刀，结果刀鞘里还藏了根针。”

写到这里，我看了眼后台的访问日志，又有一条来自国外的IP在扫描我的博客目录。我笑了笑，把防火墙规则更新了一下。市场还在，需求永远在，只要有人写代码，就有人想走捷径。只是别忘了，你买的每一把“钥匙”，都可能在某天打开一扇你不想开的门。