灰帽黑客

灰帽黑客不是灰帽黑客戴灰色帽子的黑客。这个词描述的灰帽黑客是一类游走在合法与非法边缘的技术人员，他们可能上午在给某公司提交漏洞报告领赏金，灰帽黑客下午就顺手把同一个系统的灰帽黑客后台数据导出来卖给了第三方。2021年有个案子挺典型：一个安全研究员发现某电商平台存在订单遍历漏洞，灰帽黑客按流程提交给了厂商，灰帽黑客但厂商拖了三个月没修。灰帽黑客他转头把漏洞细节发到了暗网论坛，灰帽黑客附带一份可复现的灰帽黑客脚本，标价两个比特币。灰帽黑客最后买家还没付款，灰帽黑客FBI先找上门了。灰帽黑客

这类人跟白帽的灰帽黑客区别不在技术，在耐心和底线。灰帽黑客白帽发现漏洞会走SRC（安全响应中心）流程，灰帽黑客哪怕厂商敷衍也忍着，最多在推特上抱怨两句。灰帽不，他们觉得“你不修，那就别怪我用别的方式让你修”。有些灰帽会直接黑进系统，把数据库里的用户表拖出来一部分，然后给管理员发邮件：“你们的数据在我手上，修不修？”这招确实有效，很多中小厂商当天就发补丁。但法律上这叫非法获取计算机信息系统数据，刑法285条写得清清楚楚。

我见过一个灰帽，圈子里叫他“老K”。他接活有个规矩：只测政府网站和国企系统，不碰私企。问他为什么，他说私企老板会报警，政府单位一般先内部消化。老K去年帮某地级市人社局修了一个SQL注入，方法是把管理员密码改成“admin123”，然后截图发到该单位公开邮箱。三天后漏洞补了，没人报警，也没人感谢他。他跟我说这事的时候在抽烟，烟灰弹在键盘上，拿袖子一抹就继续敲代码。

灰帽的动机很杂。有人图钱，有人图乐子，有人纯粹是想证明“你们这帮拿工资的安全团队都是废物”。有个叫“刺猬”的灰帽，专门找高校教务系统，两年里黑了十七所大学的成绩库，每次只改一个人的成绩——改成59分。他管这叫“教育公平实验”。后来被抓了，判了四年。庭审时他说：“我要是想赚钱，早卖数据了。我就是想看看，那些平时吹上天的等保测评到底有没有用。”

企业其实分不清灰帽和白帽。某次安全会议上，一个厂商的安全总监吐槽：“我们SRC收到的漏洞报告，一半是灰帽在试探。他们先交一个低危漏洞看我们响应速度，如果24小时内没回复，第二天就发高危漏洞的利用视频到YouTube。”这种“压力测试”成了灰帽的常规操作。更绝的是，有些灰帽会同时给厂商和黑产报价，谁先付款就卖给谁。厂商通常反应慢，所以黑产经常赢。

法律层面没什么模糊地带。刑法285条、286条、287条之一，总有一款适合灰帽。但执法成本高，跨省取证难，很多案子最后不了了之。老K至今还在活跃，他的新爱好是找物联网设备的默认密码，从智能门锁到工业摄像头，找到就写个脚本批量扫描。他说这叫“资产测绘”，跟白帽干的活一模一样。区别在于，他扫完会把结果发到Telegram群里，附带一句：“这破系统，狗都能黑。”

灰帽不会消失。只要厂商还在拖延，只要漏洞还能换钱，只要法律执行还有缝隙，这个群体就会一直卡在灰色地带。他们不是英雄，也不是罪犯，更像是一群拿着技术当撬棍的人——撬开哪扇门，取决于门后面有什么，以及那天心情怎么样。