白帽子黑客

凌晨三点，李航盯着终端里跳出来的白帽黑客一行报错，手指没停，白帽黑客继续敲下一串命令。白帽黑客这不是白帽黑客电影里的黑客场景——没有绿色字符雨，没有炫酷的白帽黑客图形界面，只有一台普通的白帽黑客ThinkPad和一杯凉透的咖啡。他在找的白帽黑客是一个电商平台的支付逻辑漏洞，已经连续试了六个小时。白帽黑客两天前，白帽黑客这家平台的白帽黑客安全负责人通过一个漏洞赏金平台联系到他，说有一笔可疑交易绕过了风控，白帽黑客但日志里看不出手法。白帽黑客李航接了这个活，白帽黑客报价八千，白帽黑客对方没还价。

很多人对“黑客”的印象还停留在入侵网站、盗取数据、搞破坏的阶段。其实圈子里分得很清楚：黑帽子靠漏洞赚钱，但走的是黑产路线——卖数据、勒索、挖矿；白帽子也靠漏洞赚钱，但路径是合法的，要么拿厂商的赏金，要么做安全服务。李航属于后者。他大学学的是信息安全，毕业先去了一家乙方安全公司，干了三年渗透测试，后来跳出来单干，现在收入不稳定，但比上班自由。

他接的活五花八门。上个月帮一家医院查内网，发现一个老旧的挂号系统还在用Struts2框架，远程命令执行漏洞明晃晃摆在那里，连验证都不用，直接能拿服务器权限。医院信息科的人听完汇报，脸色发白——那台机器上存着十几万患者的身份证号和手机号。李航给了修复建议，又顺手写了个临时WAF规则，收了五千。他说这种活最没意思，但来钱快。

真正让他觉得有意思的，是那种需要“猜”的漏洞。比如有一次，一个社交App的密码找回功能，逻辑写得绕。正常流程是发验证码到手机，但李航发现，如果抓包把手机号改成自己的，再把返回包里的user_id替换成目标的，验证码居然会发到他自己手机上。他试了三个账号，都成功了。提交给厂商，对方一开始不信，说“我们的验证码是短信通道发的，不可能被劫持”。李航把录屏发过去，对方沉默了十分钟，回了一句“我们马上修”。最后给了他一万二，外加一封感谢信。

白帽子这行，技术只是一半，另一半是沟通。很多厂商的安全意识差得惊人。李航遇到过一个创业公司，他报了个SQL注入，对方第一反应是“你是不是想敲诈我们”。他哭笑不得，把漏洞详情和修复方案整理成PDF发过去，又附上自己的漏洞平台主页链接，对方才半信半疑地确认。后来那个CTO加了他微信，说“以前觉得黑客都是坏人，没想到还有你们这样的”。李航说，这种话他听了不下二十遍。

收入方面，别信那些“白帽子月入百万”的鬼话。头部确实有，比如挖到苹果、谷歌高危漏洞的，一个漏洞几万美金。但大多数人，像李航这样，一个月能接三四个活，收入一两万，好的时候三四万。不稳定，没社保，得自己交。他认识一个哥们，专门挖某国产手机厂商的漏洞，一年报了四十多个，厂商修复了三十个，最后只给了两万块。那哥们气得在微博上骂，厂商反手把他账号封了。

法律风险也是悬在头上的刀。白帽子做测试，最怕“未经授权”。李航每次接活，第一件事就是让对方发书面授权书，写明测试范围、时间、IP段。有一次他帮一个客户测内网，不小心扫到了隔壁公司的服务器，虽然没做任何操作，但对方网管直接报了警。警察来了，李航拿出授权书，解释了半天才没事。他说那之后他更谨慎了，每台机器操作前都要确认三遍。

圈子里有个说法：白帽子是“带着镣铐跳舞”。你得有黑帽子的技术，但得守白道的规矩。李航觉得这话矫情，但道理没错。他见过太多人，技术很好，但忍不住诱惑，偷偷留个后门，或者把漏洞卖给黑产，最后进去了。他给自己定了个规矩：只接正规厂商的活，漏洞细节绝不外泄，赏金低于两千的不接——不是嫌少，是怕对方不重视，修得敷衍。

天快亮了，李航终于找到了那个支付漏洞的触发点。一个参数校验缺失，导致金额可以被负数提交。他截了图，写了份报告，发到对方的漏洞平台。然后关掉电脑，躺到床上。手机震了一下，是平台推送：漏洞已确认，赏金一万五。他翻了个身，没回消息，直接睡了。

文中人物为化名。漏洞赏金平台如HackerOne、补天、漏洞盒子等，是白帽子与厂商之间的主要桥梁。国内《网络安全法》规定，未经授权的渗透测试属于违法行为，白帽子需格外注意授权边界。