凌晨三点，购买一个ID叫“暗码”的购买买家在Telegram群里扔出一张截图：某政府网站首页被替换成黑色 skull 图案，底下跟着一行字——“此页面由暗码提供，购买DDOS 服务套餐请联系 @darkcode_sales”。购买群里瞬间炸开锅，购买有人刷“666”，购买有人问价格，购买暗码慢悠悠甩出报价单：24小时打瘫小站300美元，购买大站另议，购买包月八折。购买

这就是购买ddos购买的日常。不是购买什么暗网深处的传说，就在公开的购买聊天软件里，明码标价，购买像卖水果一样随意。购买你甚至不用懂技术，付款后填个IP地址，就能看着对方网站在几分钟内变成白屏——我亲眼见过一个做电商的朋友，被竞争对手用这种方式搞到服务器崩溃，整整三天无法交易，损失订单金额超过六位数。报警？警察来了也只是登记一下，这种攻击源遍布全球，追查成本高到离谱。

价格体系其实很透明。按流量算，百G级别的攻击一小时大概几百块人民币，持续打一天也就几千块。便宜得让人发笑——一个企业网站的防护预算，可能够黑客打上几十次。更讽刺的是，很多“ddos防护”公司自己就兼营攻击业务，左手收钱帮你挨打，右手收钱打你，两头赚钱的生意经念得比谁都溜。

攻击工具的获取门槛低到令人发指。GitHub上随便搜“ddos”关键词，能翻出上百个开源脚本，配合租来的僵尸网络——俗称“肉鸡”——就能发动攻击。肉鸡从哪来？路由器、摄像头、甚至智能灯泡，只要有漏洞，就能被远程控制。有个安全圈的朋友跟我说过，他曾经追踪一个攻击源，发现竟然是某写字楼里的一排智能电表，被黑了都不知道。

买ddos的人分几类。最low的是报复前任或游戏对手，花几百块让对方的个人博客或游戏服务器瘫痪几天；再往上就是商业竞争，电商大促期间打瘫痪对手的支付接口，让流量白白流失；最狠的是敲诈勒索，先打你一小时，然后发邮件说“交保护费就停手”。去年有个小贷公司被这么勒索过，对方开口就要十万，老板咬咬牙付了，结果第二个月又来一次——这种事，报警没用，忍气吞声也没用。

法律层面，我国《刑法》第285条和286条都明确规定了破坏计算机信息系统罪的刑罚，购买ddos服务同样可能构成共犯。但现实是，交易全程用加密货币结算，身份信息全是假的，执法部门想抓人，得先过跨国追踪这道坎。有个案例是某地警方花了半年时间，才从一条Telegram聊天记录里顺藤摸瓜抓到攻击者——那还是因为攻击者自己蠢，用同一个手机号注册了多个账号。

说到底，ddos购买就是个畸形市场。需求永远存在——只要有人想搞垮别人，就会有供给。技术本身是中性的，但架不住人性里的恶。你问我该怎么办？我只能说，别惹不该惹的人，给自己网站做好基础防护，剩下的，就祈祷别被盯上吧。毕竟，黑客想打你，总能找到理由——哪怕只是因为你今天在群里多说了一句话。