老周蹲在城中村的黑帽收徒出租屋里，面前三台显示器同时闪着代码瀑布。黑帽收徒他今年十九岁，黑帽收徒网龄却比很多白领的黑帽收徒工龄都长。他收徒，黑帽收徒不收钱，黑帽收徒只收"有灵性"的黑帽收徒。这个灵性，黑帽收徒说白了就是黑帽收徒能不能看懂暗网论坛里那些半真半假的教程，并且自己琢磨出点新花样来。黑帽收徒

上周他刚赶走一个交了两万"诚意金"的黑帽收徒富二代。那人连SQL注入和XSS都分不清，黑帽收徒却总想着黑进银行系统直接转账。黑帽收徒老周把烟头摁灭在泡面碗里，黑帽收徒骂了句"傻逼"，黑帽收徒然后拉黑了对方。他跟我说，现在想学真东西的人太少，想一夜暴富的傻子倒是一抓一大把。

真正的筛选方式很原始——他在某技术论坛的隐秘板块发了个帖子，里面故意埋了三个逻辑漏洞。能在一个小时内找出漏洞并写出利用脚本的人，才有资格进入下一步。上周来了个十六岁的高中生，花了四十分钟就破了题，用的还是他自己写的Python脚本。老周当时就乐了，说这孩子像极了两年前的自己。

教学方式也谈不上什么体系。老周扔给对方一个真实的钓鱼网站样本，让小孩去分析它的服务器指纹、反爬机制和支付接口的漏洞。小孩熬夜啃了三天，第四天早上给老周发了条消息："那个支付接口的校验逻辑是前端做的，改个参数就能改金额。"老周没回话，直接发了下一个任务——这次是个带WAF的政府网站。

我问他教这些不怕被抓吗。老周把椅子往后一靠，屏幕的光映在他脸上，忽明忽暗。"我教的是思路，不是工具。工具网上随便下，思路才是值钱的东西。"他顿了顿，"而且我让他们练手的目标，全是我自己搭的蜜罐，或者那些早就该被淘汰的僵尸系统。真碰上硬茬子，我会教他们怎么收手。"

但他心里清楚，这条路上没有绝对的保险。去年有个徒弟学成后去搞了某电商平台的优惠券系统，赚了几万块，结果第三天就被警察找上门。那徒弟没供出老周，但老周还是把所有的教学记录都清了一遍，换了个加密通信软件。他跟我说这事儿的时候语气很平淡，只是多抽了两根烟。

现在他手底下真正带的有四个人，最小的那个还在上初二。老周不让那小孩碰任何真实目标，只让他天天拆解开源代码，研究漏洞模式。"太早碰实战容易废掉，得先把底子打扎实。"他说这话时难得露出点正经神色。

前几天那个十六岁的高中生给他发了条消息，说自己在某个知名开源项目里发现了一个任意文件读取漏洞，已经提交了CVE申请。老周盯着屏幕看了很久，最后只回了一个字："行。"

他关掉聊天窗口，又点开了一个新的漏洞报告。屏幕右下角的时间显示凌晨三点十七分。这座城市里绝大多数人都睡了，但老周知道，还有几个徒弟正亮着屏幕，在代码的缝隙里寻找着属于他们的那道光——或者说，那道裂缝。