去年夏天，攻击我蹲在出租屋里啃西瓜，网站手机弹出一条推送：某地警方破获一起DDOS攻击案，教程主犯是攻击个19岁的小伙，用自己写的网站脚本打瘫了三个游戏私服，赚了不到两万块，教程判了三年。攻击西瓜汁滴在屏幕上，网站我擦了擦，教程心想这哥们要是攻击把这劲头用在正道上，现在估计已经进大厂了。网站

攻击网站这事，教程技术门槛比大多数人想象的攻击低得多。网上随便搜“压力测试工具”，网站能翻出几十个开源项目，教程下载解压，一行命令就能让一个没做防护的小站断网。我见过最离谱的案例，是某高校学生用宿舍电脑对学校教务系统发起CC攻击，原因只是选课没选上。他用的工具叫LOIC，图形界面，填个网址点开始就行，跟玩似的。结果教务系统瘫了两天，他也被记过处分。

但“能打”和“打得动”是两码事。现在稍微正规点的网站，前面都挂着Cloudflare或者阿里云盾，流量清洗、IP封禁、速率限制一套组合拳。你拿自己那台破笔记本发起的攻击，就像往长江里倒一桶墨水，连个水花都看不见。真正能造成破坏的，要么是掌握了大量肉鸡的僵尸网络，要么是找到了应用层的逻辑漏洞。前者需要长期经营，后者需要脑子。

我认识一个做渗透测试的朋友，他接单前会先问客户：你是想让我“证明有问题”，还是想让我“搞出问题”？这两者差别巨大。证明有问题，只需要找到一个XSS弹窗或者SQL注入点，截个图交差。搞出问题，那就得考虑权限提升、内网横向、数据拖库，每一步都可能触发WAF告警。他说最危险的不是技术，是心态——很多人打着打着就上头了，非要拿到shell才肯收手，结果IP被溯源，警察上门。

法律红线其实画得很清楚。《刑法》第二百八十六条，破坏计算机信息系统罪，后果严重的处五年以下有期徒刑。什么叫“后果严重”？司法解释里写得很细：造成五十台以上计算机信息系统不能正常运行，或者违法所得五千元以上，都够立案标准。我翻过中国裁判文书网，类似的案子每年都有几百起，被告席上坐着的大多是二十出头的年轻人，辩护词里出现频率最高的词是“好奇”和“炫耀”。

如果你真的对网络安全感兴趣，正确的路径是去考CISP或者OSCP，去补天、漏洞盒子这类平台提交漏洞，拿积分换奖金。我认识一个00后，中专学历，靠挖漏洞攒了十几万，现在在某安全公司做渗透测试，出差住五星级酒店。他跟我说，第一次挖到某电商平台的逻辑漏洞时，手都在抖，但提交报告后拿到两千块奖励，那种踏实感比攻击一百个网站都爽。

西瓜吃完了，推送也划走了。那个19岁的小伙在法庭上说了句话，我记到现在：“我以为只是玩玩，没想到会坐牢。”技术本身没有善恶，但敲键盘的手得知道边界在哪。你盯着屏幕里的数据包，屏幕外面还有一张网，比TCP/IP协议复杂得多。