漏洞犯法
2017年，漏洞犯法杭州一家科技公司的漏洞犯法安全研究员陈某，在未获授权的漏洞犯法情况下，用自己写的漏洞犯法脚本扫描了某政务平台，发现了一个SQL注入点。漏洞犯法他没上报，漏洞犯法也没利用，漏洞犯法只是漏洞犯法截图发到了技术群里。三天后，漏洞犯法警察上门。漏洞犯法法院判他非法获取计算机信息系统数据罪，漏洞犯法拘役四个月，漏洞犯法缓刑六个月。漏洞犯法他后来跟朋友说，漏洞犯法我只是漏洞犯法想证明那个漏洞存在，没想偷东西。可法律不看动机，只看行为。
这事在圈子里炸了锅。很多人第一次意识到，发现漏洞和利用漏洞之间，那条线不是由技术判断的，是由法律划的。你扫到了，哪怕没碰数据，只要系统记录了你异常访问的痕迹，就可能构成“非法侵入”。刑法第285条写得清楚：违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，处三年以下有期徒刑或者拘役。政务平台算不算“国家事务”？法院说是。
更麻烦的是“未经授权”这四个字。白帽子们习惯的挖洞流程——扫端口、试payload、验证漏洞——每一步都在法律边缘试探。你觉得自己在做安全测试，可对方服务器日志里，你就是个来路不明的IP，在反复尝试绕过认证。没有书面授权，没有明确的测试范围约定，那就是黑盒操作，出了事没人替你说话。
有个做渗透测试的老手跟我聊过，他接私活时必签两份文件：一份授权书，一份免责声明。授权书里要写明测试的IP段、时间窗口、允许使用的技术手段。免责声明则要求甲方确认，测试期间可能造成服务短暂不可用，且不得以此追责。他说，这不是矫情，是保命。他见过太多甲方口头说“随便测”，出事后翻脸不认人的。
法律不关心你技术多牛。它看的是：你有没有权限？你有没有造成实际损害？你有没有获利？这三个问题里，第一个最要命。很多漏洞挖掘者栽就栽在“我以为我有权限”上。公司内网、客户测试环境、甚至自己买的物联网设备——你以为你是主人，可设备厂商的云平台你只有使用权，没有所有权。你刷固件、抓包分析，可能就侵犯了厂商的软件著作权，或者违反了用户协议里的禁止逆向工程条款。
去年有个案例，某安全团队发现某品牌智能摄像头存在后门，能远程查看画面。他们没联系厂商，直接发了篇公众号文章，附了演示视频。厂商反手一个报警，说他们非法侵入。最后虽然没判刑，但团队负责人被拘留了37天，公司业务停摆。你说他们冤不冤？从技术角度看，他们做了件好事。从法律角度看，他们未经授权访问了别人的设备，还公开了细节。
漏洞本身不犯法，犯法的是你碰漏洞的方式。就像你发现邻居家门锁有问题，你可以提醒他，但不能自己拿工具去试开。哪怕你只是试试，没进去，那也是试图非法侵入。技术圈有个词叫“灰色地带”，可法律里没有灰色，只有黑和白。你踩过去，就是黑。
所以现在正经的漏洞挖掘，要么走厂商的SRC平台，按规则提交；要么签正规授权合同，在约定范围内测试。别信什么“技术无罪”的鬼话。技术当然无罪，可操作技术的人有。你手里的键盘，敲下去之前，先想想刑法第285条和第286条。那两页纸，比任何0day都值钱。
```