内容摘要：凌晨三点，一个ID叫“暗流”的买家在Telegram群里甩出一张截图，问“这个价格能不能再压”。截图里是某家DDoS防护平台的报价单，上面写着“100Gbps攻击流量，持续30分钟，报价8000美元”

凌晨三点，流量一个ID叫“暗流”的购买买家在Telegram群里甩出一张截图，问“这个价格能不能再压”。流量截图里是购买某家DDoS防护平台的报价单，上面写着“100Gbps攻击流量，流量持续30分钟，购买报价8000美元”。流量群里沉默了几秒，购买一个叫“老K”的流量人回了个地址，附带一句“同样的购买量，我收你6000，流量先测后付”。购买这就是流量黑市上DDoS流量买卖的日常——像买菜一样讨价还价，只不过交易的购买是“瘫痪别人服务器”的能力。

流量从哪来？流量大多数是僵尸网络。去年我接触过一个被植入恶意程序的智能摄像头，它连着我家的Wi-Fi，某天突然开始向一个陌生IP疯狂发包。我查了日志，发现它参与了针对某电商平台的攻击。那台摄像头只花了我89块钱，却成了别人武器库里的一个零件。更讽刺的是，攻击结束后，我收到一封邮件，声称如果支付0.5个比特币，就告诉我如何清除摄像头里的恶意软件——这分明是同一伙人，先制造问题再卖“解决方案”。

价格体系比你想的透明。在暗网论坛上，有个帖子长期置顶，标题是“2024年DDoS流量行情参考”。里面详细列出了各个档位的价格：打瘫一个小型游戏服务器，200Gbps攻击一小时，约合人民币5000元；攻击一个中型电商网站，需要持续施压，400Gbps三天，报价接近15万。这些数字不是乱标的，背后有精密的成本核算——租用服务器、维护僵尸网络、避开主流防护策略，每一项都有硬性开销。有个卖家曾跟我抱怨：“现在生意难做，Cloudflare和阿里云的防护越来越智能，攻击失败率高了，我们得不断升级工具，成本自然转嫁给买家。”

买流量的人分几类。一类是游戏玩家，纯粹为了报复——被对手虐了，就花钱让对方的服务器宕机，哪怕自己也在同一局里掉线。另一类是同行竞争，我认识一个小电商的运营，他承认自己买过三次攻击，目标都是销量比他高的同类店铺。“不用搞垮他们，只要让他们在双十一那天卡顿十分钟，客户就跑到我这边来了。”他说这话时语气平淡，仿佛在讨论一次普通的促销活动。最恶劣的是勒索者，先攻击你的网站，再发邮件要“保护费”，不给就继续打。去年某地一家医院就遭遇过这种情况，挂号系统瘫痪了整整一个下午，病人排着长队干等，院方最后不得不交了3万块“赎金”。

防护手段也在升级，但永远慢半拍。我见过最荒诞的场景：一家公司一边花钱买高防IP，一边被内部员工出卖——那个员工把防护规则的漏洞截图卖给了攻击者，价格是2000块。攻击者拿到漏洞后，绕过了所有防火墙，直接把该公司官网打成了“连接已重置”。事后调查发现，那个员工只是觉得“反正公司也不给我涨工资，不如赚点外快”。人性里的贪婪和短视，往往比技术漏洞更难防。

买流量本身不违法吗？法律条文写得很清楚，但执行起来困难重重。攻击者使用境外服务器，资金通过加密货币流转，IP地址层层跳转。就算抓到人，对方可能只是个十几岁的少年，在自己卧室里用几台租来的机器操作。我采访过一个被抓获的“黑客”，他刚满18岁，对攻击行为毫无悔意：“我只是觉得好玩，没想到会坐牢。”他的“好玩”，让三家小型企业损失了共计40多万的营收。

回到那个讨价还价的群聊。最后“暗流”没有接受“老K”的报价，他说“再等等，下个月可能有更便宜的流量”。群里没人问他为什么需要攻击目标，也没人提醒他这是犯罪。在这个虚拟空间里，道德和法律都成了模糊的背景音，只有价格和效果是清晰的。而现实中的受害者，可能正在深夜加班修复服务器，或者对着屏幕上的“404”发呆，不知道是谁、为什么、花了多少钱，让他们的网站一夜之间变成废墟。