凌晨两点十七分，黑客群消息还在跳。技术交流一个ID叫“冷焰”的黑客人发了张截图，是技术交流某省运营商后台的登录界面，配文只有四个字：“门没关严。黑客”底下瞬间冒出十几条回复，技术交流有人问路径，黑客有人贴出同款系统的技术交流漏洞编号，还有人直接甩了个加密压缩包，黑客说“里面是技术交流昨晚跑出来的数据，自己看”。黑客这个群，技术交流叫“黑客技术交流qq群”，黑客名字直白得有点土，技术交流但里面的黑客人干的事，一点都不土。

我混进去快三个月了。最初以为会看到满屏的“求带”“收徒”“日站报价”，结果翻聊天记录，前五十页有一半在吵架。吵的是某个CMS的过滤函数到底该不该用preg_replace，吵的是某款防火墙的规则绕过后会不会触发二次告警。冷焰偶尔冒出来说一句：“你们争的这些，甲方根本不在乎，他们只关心明天早上八点业务能不能起来。”没人回他，但接下来半小时，群里安静得像是被拔了网线。

真正让我意外的是他们的“工具库”。群文件里有个叫“旧货市场”的文件夹，里面全是些老掉牙的东西：2014年的Struts2利用工具、一个用Python2写的端口扫描器、甚至还有份手写的SQL注入笔记，扫描件，字迹潦草，页脚印着“2009年3月，于郑州”。新来的会问“这还能用吗”，老成员就回：“看你怎么用。上周刚拿这个思路绕了某云WAF，它只拦新特征。”这话我信，因为三天后，群公告换成了“某云WAF规则已更新，旧货市场暂停使用”。

群里有个规矩，不聊“黑产”。有次一个人发了条“菠菜站后台，日进三万，有没有人一起”，消息还没刷屏，管理员“老K”直接踢人，附了句：“要搞钱去别处，这儿只聊技术。”老K自己很少说话，但每隔几天会丢一个链接，是某篇英文安全论文的机翻版，标题通常很枯燥，比如《基于状态机的协议模糊测试优化》。点进去看，文末总有人用红字批注：“第三章的模型可以套到工控协议上，已验证。”

最热闹的一次，是有人发了个某智能家居设备的固件。群里立刻分成两拨：一拨在解包文件系统，找硬编码密钥；另一拨在分析通信协议，画时序图。有个叫“线粒体”的女生，花了四小时把加密算法逆出来，发了个Python脚本。结果第二天，设备厂商的补丁就推了。线粒体在群里说：“他们响应挺快，但补丁只改了密钥，算法没动。”底下有人回：“够用了，又不是人人都会逆。”

我退群前最后一条消息，是冷焰发的。他贴了张图，是某地政务系统的登录页，验证码图片扭曲得几乎看不清。他说：“这验证码，用CNN跑一遍，准确率能到九成。”然后他补了句：“但我没跑。你们也别跑。有些门，知道没关严就行了，推开了，性质就变了。”没人接话。过了十分钟，消息被撤回。群公告更新了一条：“近期风控，暂停一切目标讨论。”

现在那个群还在我手机里，消息免打扰。偶尔点进去，看见有人问“XX漏洞复现环境谁有”，有人答“自己搭，别伸手”。下面跟着一串“+1”。我关掉屏幕，想起冷焰那句话——门没关严。这大概就是他们最真实的写照：站在门口，手插在兜里，不推，也不走。