黑客攻防培训的黑客报名表，在开放后47分钟被抢空。攻防我亲眼看着那个页面，培训数字从120跳到0。必火培训机构老板老周在朋友圈发了一条视频，黑客镜头里他握着手机，攻防声音有点抖：“各位，培训下一期得等三个月了。必火” 这行当火得不像话。黑客去年夏天我在北京中关村见了一个做安全培训的攻防哥们儿，他租的培训教室在写字楼的地下二层，没窗户，必火空气里全是黑客汗味和电脑散热的风。三十多个学员挤在长条桌前，攻防屏幕上全是培训跳动的十六进制代码。他跟我说，这期学员里有个送外卖的，白天跑单，晚上啃《Web安全深度剖析》，就为了三个月后能转行当渗透测试员。那哥们儿后来真过了面试，起薪一万八。 火的原因不复杂。企业被勒索病毒搞瘫痪的新闻，一个月能刷到好几条。银行、医院、甚至小卖部的收银系统，都有人敢黑。但会修的人太少——高校里信息安全专业的毕业生，一年就那么多，多数还只会写论文。市场缺口大得能吞人，而黑客攻防恰好是那种“看起来酷、学起来爽、变现快”的技能。你不需要懂高数，不需要背法律条文，只要会折腾，能钻进系统的漏洞里，再爬出来，钱就来了。 可培训本身，水很深。我听过一个段子，某机构的“实战演练”，是让学员用现成的工具去扫一个早就配置好的靶场，谁扫到漏洞谁拿高分。那靶场是老师自己搭的，漏洞就藏在三个固定位置，跟打地鼠似的。学员们出去面试，人家问“你挖过什么真实漏洞”，他们只能支支吾吾。这不算教学，算表演。 真正值钱的课，是拿真实系统练手。老周那班为什么爆满？因为他搞来了几个小企业的授权，让学员直接测他们的网站。有个学员在某个电商平台的优惠券接口里，翻出了一个逻辑漏洞——能无限领券。他上报之后，企业连夜修了，还多发了他两千块奖金。这故事在学员群里传疯了，比任何广告都好使。 但你也别被“黑客”俩字唬住。这行当的门槛，比想象中低，也比想象中高。低在入门——一台电脑，一个虚拟机，几本开源手册，你就能开始扫端口。高在深处——真正的攻防对抗，拼的是对系统底层原理的理解，是耐心，是那种在日志堆里找蛛丝马迹的变态执着。培训班能教你的，是套路和工具；教不了的，是你在深夜两点，面对一个毫无反应的服务器时，还能不能静下心来，换个思路再试一次。 我认识一个三十八岁的运维，被裁员后去学了三个月攻防，现在给一家券商做红队。他跟我说，以前修服务器像伺候大爷，现在黑服务器像拆积木。同一套系统，换了个视角，居然能看出这么多门道。他工资翻了两倍，但头发也白了不少——每次攻防演练，他都得跟对方的蓝队斗智斗勇，输一次，奖金就没了。 这培训火，火得合理。但别指望上完课就能天下无敌。黑客攻防的本质，是持续的学习和对抗。你今天学会的漏洞利用，明天可能就被厂商补上。你今天绕过的防火墙，明天可能就更新了规则。培训班给你的，是一把钥匙，但门后面的房间，无穷无尽。 老周下一期开班那天，我问他：“你就不怕学员学会了出去搞破坏？”他愣了一下，然后笑了：“真能搞破坏的，根本不用来上课。来上课的，大多是想找个正经饭碗的。”他指了指教室后排，一个戴眼镜的女生正埋头敲代码，屏幕上是她刚写好的SQL注入脚本。她抬头看了我一眼，又低下去，继续敲。那股专注劲儿，像极了当年在机房里通宵调试程序的我自己。