当黑客犯法吗
当黑客犯法吗
犯法。当黑除非你黑的客犯是自己的设备，或者拿到了书面授权。当黑就这么简单。客犯
我认识一个搞渗透测试的当黑，圈里叫他“老猫”。客犯有次他接了个活，当黑客户是客犯家小公司，让他测测内部系统有没有漏洞。当黑合同签了，客犯授权书也盖了章。当黑结果他刚扫到一半，客犯公司网管报警了。当黑警察来了，客犯老猫把合同往桌上一拍，当黑没事。但要是没那张纸，他那天就得进去。
《刑法》第285条、286条、287条，写得清清楚楚。非法侵入计算机信息系统罪，非法获取计算机信息系统数据罪，破坏计算机信息系统罪。量刑从三年以下到七年以上都有。不是闹着玩的。
“我只是看看，没改数据”
有人觉得，我就进去逛逛，啥也不动，不算犯法吧？
算。非法侵入本身就是行为犯。你翻墙进别人家院子，哪怕只是站了一会儿，也是非法侵入住宅。网络空间一样。2017年有个案子，一个大学生扫了学校教务系统的漏洞，没改成绩，就下载了自己的成绩单。结果被定了非法获取计算机信息系统数据罪。学校没留情面。他后来退学了。
还有个更离谱的。某安全公司员工，在客户授权范围外多测了一个内网IP。就多扫了一个端口。客户发现后直接解约，还报了警。虽然最后没起诉，但他在圈里的名声臭了。这行靠信任吃饭，一次越界，饭碗就砸了。
那些“白帽子”是怎么活下来的
白帽子不是不碰法律红线，是碰之前先把手续办齐。SRC（安全应急响应中心）平台上的漏洞提交，本质上是平台替你做了授权背书。你提交漏洞，平台审核，厂商确认。这个流程里，你是在厂商的默许范围内行动。但如果你绕过平台直接去挖，哪怕漏洞是真的，也可能被当成攻击者。
有个叫“黑哥”的，早年挖漏洞不喜欢走平台，觉得麻烦。有次他挖到某电商平台一个支付逻辑漏洞，能一分钱买手机。他直接联系了客服。客服转安全部门，安全部门转法务。法务说：你怎么证明你不是在攻击？黑哥拿不出授权记录。最后虽然没被起诉，但平台把他拉黑了，所有漏洞都不收。他后来老老实实注册了SRC账号。
法律不看动机，看行为
你觉得自己是好人，想帮忙修漏洞。法律不关心这个。法律关心的是：你有没有权限？有没有授权？行为有没有造成损失？
2019年，某地一个中学老师发现学校官网有SQL注入漏洞。他好心提醒信息中心，信息中心没理他。他自己动手把漏洞修了——其实就是加了个过滤参数。结果学校网站崩了两小时。学校报警。他被拘留了五天。出来后他说：我再也不碰别人的系统了。
这事听着冤。但法律逻辑是：你没有授权，你动了别人的系统，造成了业务中断。动机再好，行为越界了。
灰色地带在哪
漏洞挖掘的灰色地带，主要在“授权范围”的界定上。很多厂商的授权书写得模糊，“测试范围包括但不限于……”这种话，真出了事，解释权在厂商。你以为是授权，人家说是越权。
还有个更灰的：漏洞交易。你挖到漏洞，卖给厂商，合法。卖给第三方漏洞平台，看平台合不合规。卖给黑产，直接进去。中间那条线，很多人走着走着就偏了。
我见过一个年轻人，挖了个某政务系统的漏洞。厂商SRC只给积分，不给钱。他转头把漏洞卖给了境外一个“研究机构”。钱到账第二天，警察上门。现在还在服刑。
说点实在的
想当黑客，先学法律。别觉得技术牛就能横着走。这行里进去的，不少都是技术不错的。栽跟头的原因，基本都是一个：觉得自己不会被发现，或者觉得自己动机纯就没事。
法律不跟你讲技术情怀。它讲证据，讲授权，讲边界。你越界了，就是犯法。没越界，就是合法。就这么简单。
老猫现在接活，第一件事就是让客户发授权书扫描件。他说：我宁可少赚点，也不想进去踩缝纫机。这话糙，理不糙。
```