去年冬天，黑帽我帮一个做跨境电商的寄生朋友看他的独立站。服务器日志里全是虫教异常请求，来自越南、黑帽印尼、寄生巴西的虫教IP，每秒几百次，黑帽打的寄生都是商品详情页。他以为是虫教被DDoS了，准备加钱上高防。黑帽我扫了一眼URL参数，寄生发现不对劲——所有请求都带着同一个query string：?虫教variant_id=后面跟一串数字。这不是黑帽攻击，这是寄生有人在扒他的SKU数据。

黑帽寄生虫，虫教说白了就是寄居在别人服务器上的爬虫。跟普通爬虫不一样，它不遵守robots.txt，不限制频率，不标识自己。它伪装成正常用户，把目标网站当免费API用。你花钱买的服务器带宽，成了别人的数据管道。

这种玩法最早在比价网站圈子里流行。2019年我接触过一个做机票比价的团队，他们的技术负责人直接跟我说：“我们养了三百多台肉鸡，专门刷携程和去哪儿。”每台机器模拟不同设备指纹，请求间隔随机化，遇到验证码就切IP。一天能扒几百万条价格数据，转手卖给票代。成本？一台VPS一个月五美元，三百台也就一千五。比买官方API便宜太多。

技术门槛比想象中低。Python写个异步爬虫，配上fake-useragent库随机换UA，再用rotating-proxies轮换代理池，基本就能跑起来。真正麻烦的是反爬。大厂的风控系统会看TCP指纹、TLS握手特征、鼠标轨迹。但黑帽圈子里有现成方案——puppeteer-stealth插件能抹掉大部分自动化痕迹，配合住宅代理，识别率降到5%以下。

我见过最狠的一个案例，是某在线教育平台。竞对直接在他们前端JS里注入了挖矿脚本，用户打开课程页面，CPU占用率飙到90%。表面看是挖矿，实际上脚本还在后台偷偷调用平台的内部API，把课程目录、讲师信息、甚至未公开的题库全拉走了。平台运维三个月后才发觉，因为服务器负载一直偏高，但没到报警阈值。

防御这事，很多公司方向就错了。买WAF、上CDN，挡得住SQL注入，挡不住模拟真实用户的爬虫。真正有效的办法是行为分析。比如正常用户看商品详情页，停留时间中位数是8秒，爬虫是0.3秒。正常用户会加载图片和CSS，爬虫只抓HTML。这些特征组合起来，识别准确率能到99%。

但道高一尺魔高一丈。现在黑帽圈开始用强化学习训练爬虫，让AI学会模仿人类操作节奏。鼠标移动轨迹用贝塞尔曲线生成，页面停留时间服从正态分布。我上个月测试了一个开源项目，叫Undetected-Chromedriver，配合GPT-4生成的点击策略，连续访问某电商网站两千次，没触发一次验证码。

说句悲观的，只要数据有价差，寄生虫就杀不绝。你封IP，他换代理。你上验证码，他接打码平台。你分析行为，他上强化学习。这场军备竞赛没有终点。唯一能做的，是把核心数据接口加上签名校验，把敏感字段加密传输。至于公开页面上的价格和库存？那本来就是给人看的，只不过现在“人”的定义变宽了。

我那个跨境电商朋友最后没买高防。他把商品详情页的variant_id改成了UUID，每次请求动态生成，有效期三十秒。爬虫再来的话，拿到的全是过期参数。服务器负载当天就降了七成。他问我这算不算黑帽手段，我说算，但你是防守方，这叫以毒攻毒。