去年冬天我在怀化火车站附近的怀化黑帽一家粉馆吃粉，旁边坐了个戴黑帽的怀化黑帽年轻人。帽子压得很低，怀化黑帽几乎遮住半张脸。怀化黑帽他一直在打电话，怀化黑帽声音不大，怀化黑帽但我听清了几句——“那台机器已经跑起来了”“对，怀化黑帽就是怀化黑帽DNS那块”“你那边流量先别放，等凌晨”。怀化黑帽我当时没多想，怀化黑帽只觉得这人说话方式不太像普通生意人。怀化黑帽后来跟当地一个做网络安全的怀化黑帽朋友聊起，他说那片区确实常年有一批人，怀化黑帽帽子是怀化黑帽他们的标志之一，圈子里管这叫“怀化黑帽”。怀化黑帽

怀化这地方，说起来有点意思。它夹在湘西的山坳里，铁路枢纽，人多且杂，物价低，房租便宜。搞黑灰产的人喜欢这种地方——成本低，不容易被盯上，而且本地技术圈子小，互相都认识，信息流通快。我朋友老周在怀化做了七八年渗透测试，他跟我说，最早那批人就是做私服起家的，后来私服不行了，转做流量劫持、短信轰炸、钓鱼站。帽子这东西，一开始是为了遮脸，后来变成一种身份认同，跟程序员穿格子衫一个道理。

我见过一个典型的怀化黑帽。二十七八岁，瘦，手指关节很粗，抽烟抽得凶。他租在河西一个老小区，两室一厅，客厅摆了三台显示器，墙上贴着几张手写的IP段和域名列表。他主要做的是“接单”——有人要打竞品网站，有人要刷某平台的排名，有人要查某个手机号的机主信息。他不问用途，只谈价格。一个DDoS套餐，按流量和时长算，几百到几千不等。他说这行现在也卷，以前一个月能挣两三万，现在一万出头，因为做的人多了，工具也傻瓜化了。

老周跟我讲过一个细节。有次他去一个“黑帽”的窝点帮忙看服务器配置，发现对方用的是一台二手戴尔R720，风扇嗡嗡响，机箱上放着半碗没吃完的米粉。那人一边敲键盘一边跟老周说：“你看这个站，防护跟纸一样，我五分钟就进去了。”语气平淡，没有炫耀，就像在说今天天气不错。老周说那一刻他觉得有点荒诞——这些人技术不差，如果去正规公司，月薪过万不难，但他们就是不愿意。问为什么，回答是“自由惯了，受不了打卡”。

怀化黑帽的另一个特点是“家族式”传播。表哥带表弟，同学拉同学。我认识一个叫小凯的，他入行是因为他堂哥在怀化做“料商”——就是倒卖公民信息的。小凯一开始只是帮忙整理Excel表格，后来学会了用SQL注入拿数据库，再后来自己单干。他跟我说，这行最大的风险不是警察，是同行。你抢了别人的单，或者不小心把某个站的数据库拖了，可能第二天就有人找上门。他去年被“点”了一次，对方在他服务器里留了个txt文件，写着“再动这个站，你电脑里的东西我全发出去”。

不过怀化黑帽也不是铁板一块。有人赚了钱就转行开网吧、做餐饮，有人被抓了判了缓刑，出来之后老老实实去长沙做运维。老周说，现在怀化本地的黑帽数量比前几年少了，一方面是因为国内打击力度大了，另一方面是东南亚那边给的价更高，很多有点技术的都跑过去了。留下来的，要么是胆子小的，要么是技术确实一般，只能接点小单。

我离开怀化那天，又路过那家粉馆。那个戴黑帽的年轻人不在了，换成一个穿校服的学生在吃粉。粉馆老板一边擦桌子一边跟我说：“现在生意不好做，以前那些搞电脑的，半夜都来吃粉，一坐就是两三个小时。”他说的“搞电脑的”，大概就是那些黑帽。我没接话，低头吃粉。汤有点咸，辣椒放多了。

(责任编辑：综合)