黑帽评测这行当，黑帽评测干久了看什么都像漏洞。黑帽评测上周帮一个做跨境电商的黑帽评测朋友看他的独立站，后台登录页面居然还在用HTTP传输密码。黑帽评测我当场就笑了——这跟把保险柜钥匙插在锁孔上有什么区别？黑帽评测

他一脸懵：“不是说有SSL证书吗？”

有。但证书装在了主站，黑帽评测后台走的黑帽评测是另一个子域名，运维图省事没配。黑帽评测这种半吊子安全措施，黑帽评测在黑帽眼里就是黑帽评测挂着“欢迎光临”的破窗户。

黑帽评测不是黑帽评测黑客攻击

很多人搞混这两件事。黑帽评测是黑帽评测模拟攻击者的思维去找漏洞，但整个过程在授权范围内进行，黑帽评测最后交一份报告。黑帽评测黑客是黑帽评测直接干进去，拿数据、勒索、或者纯粹搞破坏。

区别在哪？授权书。没这张纸，你技术再牛也是犯罪。

我见过一个安全工程师，技术过硬，帮某公司测出支付逻辑漏洞——下单时可以把金额改成负数，平台倒贴钱。他兴奋地截了图发到技术群。三天后警察找上门。公司不认账，说没委托他测试。最后赔了钱，还留了案底。

所以这行的第一条规矩：先签字，再动手。别信什么“我帮你看看”的口头承诺。

漏洞值多少钱

暗网上一个能远程执行代码的0day，报价从几万到几十万美金不等。看影响范围。如果是Windows或者Chrome的，价格翻倍。但大多数企业级漏洞没那么值钱——一个SQL注入可能就值几百块，还得看数据库里有什么。

有意思的是，很多公司宁愿花大钱买防火墙，也不愿意给白帽子发奖金。某次我报了一个逻辑越权漏洞，能查看其他用户的订单详情。厂商回复：“低危，不修复。”我问他什么叫高危。他说：“能拿到服务器权限的。”

行吧。等真被拖库了，别哭。

那些哭笑不得的漏洞

去年测一个物联网设备，智能门锁。配套App的API接口没有任何鉴权。我抓包改了一下用户ID，直接打开了别人家的门。更绝的是，这个接口还返回了门锁的MAC地址和经纬度。等于说，攻击者可以写个脚本，把整个小区能联网的锁全打开。

厂商的修复方案是：把返回的经纬度去掉了。

门还是能开。只是不知道主人在哪。

还有个案例。某在线教育平台，密码重置逻辑是：输入手机号，收到验证码，填对就能改密码。但验证码是4位数字，没有次数限制。我写了个脚本，从0000到9999跑一遍，平均5000次就能命中。整个过程不到两分钟。平台后来加了图形验证码，但验证码本身可以OCR识别。又加IP限制，但用代理池轻松绕过。

最后他们怎么修的？把验证码改成6位。

我无话可说。

这行没有“安全”

只有“暂时没被攻破”。

你装了WAF，我绕编码。你上了RASP，我找逻辑漏洞。你做了代码审计，我社工钓鱼。防守方要堵所有洞，攻击方只需要找到一个。

不对称。永远不对称。

所以别问“我的系统安全吗”。问“我的系统值多少钱给攻击者”。如果答案是“不值得”，那你暂时安全。如果答案是“很值”，那你最好祈祷别被盯上。

黑帽评测干的就是把“祈祷”变成“证据”。一份报告，几十页，列出所有能捅穿的地方。厂商修不修是另一回事。但至少，你知道了。

知道了，就再也回不去了。