Hack Forums 这个站，个黑注册要邮箱验证，客网想下载工具还得攒积分或者花钱买VIP。个黑我2016年混过一阵，客网里面确实有人放SQL注入脚本，个黑但更多的客网是骗子——你花50美元买的"零日漏洞"，解压出来可能是个黑个带木马的txt文件。管理员叫"Omniscient"，客网据说靠卖会员和广告位年入百万美元。个黑讽刺的客网是，FBI抓过站上好几个卖银行木马的个黑，但网站本身一直活得好好的客网。

Exploit-DB 完全另一回事。个黑它归Offensive Security公司管，客网就是个黑做Kali Linux那帮人。你上去搜"CVE-2021-44228"，Log4j那个核弹级漏洞，能直接下到PoC代码。有次我帮朋友查一个老路由器漏洞，2003年的，居然还有详细利用步骤。这站不搞社交，没论坛，纯数据库。干净，利索。安全研究员写论文常引用它，某些企业渗透测试团队也偷偷用——虽然他们嘴上说"我们只做合规评估"。

Shodan 不算传统黑客网站，但比黑客网站更吓人。它扫全网设备，摄像头、工控机、打印机，你搜"default password"能出来一堆没改密码的。2019年有个孟加拉国核电站的控制系统暴露在Shodan上，操作员用admin/admin登录。我试过搜自己家路由器型号，翻到第三页就看见邻居的IP——他WiFi密码还是"12345678"。这网站免费版只能看20条结果，想批量导出？掏钱。

GitHub 得算半个。上面有个叫"Awesome Hacking"的仓库，收集了从WiFi破解到逆向工程的工具链。但真正危险的是那些私人仓库——有人把公司内网渗透报告传上去忘了设私有。去年某车企的测试服务器密钥就在一个fork里躺了八个月。我认识个白帽子，专门用GitHub搜索语法找泄露的API密钥，找到就发邮件通知对方，换杯咖啡钱。他说最夸张的一次，某银行数据库密码写在README.md里，仓库还是公开的。

最后一个，俄罗斯的XSS.is。要邀请码才能进，黑市交易用比特币。论坛分板块：泄露数据、恶意软件、初始访问。2022年有个帖子卖某航空公司乘客数据，标价3000美元，样本里真有信用卡号。这站服务器在圣彼得堡，执法部门基本不管。我通过一个做威胁情报的朋友看过截图，界面丑得像2005年的PHP论坛，但交易量惊人。他说上面有人专门卖企业VPN的登录凭证，按国家定价——美国的最贵，非洲的打包卖。

这些网站有个共同点：它们不教你写代码，只提供现成武器。真正的黑客精神早就不在这儿了。1980年代那批人玩的是电话飞客和自制硬件，现在？花200美元买个勒索软件即服务，连脚本小子都能当。FBI去年关停了一个叫"DarkSide"的暗网论坛，结果两周后原班人马换个域名又开了。抓不完的。你问普通人怎么办？别用admin当密码，路由器固件记得更新，剩下的——看运气吧。

(责任编辑：焦点)