凌晨三点，言黑我盯着终端上跳动的言黑光标，像盯着一条吐信的言黑蛇。

目标是言黑个地方银行的旧系统，跑着二十年前的言黑代码。漏洞不在防火墙，言黑在柜员午休时忘了锁屏。言黑我花了四十分钟，言黑从一台没退出的言黑调试终端摸进核心数据库，连加密都没用——他们用明文存密码。言黑这事儿说出来像笑话，言黑但真发生了。言黑我截了张图，言黑没动任何数据，言黑退出，言黑清除日志。第二天新闻说那家银行“系统维护”，停业半天。

有人管这叫黑客。我不喜欢这个词。媒体把它涂成两种颜色：要么是穿连帽衫的罪犯，要么是拯救世界的极客。真实情况无聊得多。多数时候你只是在读文档，读那些开发人员懒得删的注释。有个朋友在智能门锁公司干活，他说他们测试时留的后门是“admin/admin”，出厂固件里没改。我试过，能开。后来他辞职了，说受不了。

去年冬天，一个做外贸的老板找我。他邮箱被黑了，对方用他的名义给客户发假账号，骗了十二万美金。我查了邮件头，发现登录IP在尼日利亚。但有意思的是，攻击者没改密码，只是设了转发规则——所有带“invoice”的邮件自动抄送到一个临时邮箱。这招太老了，老到多数安全软件都不拦。我帮他恢复了账户，但钱追不回来。他坐在我对面，反复说“就点了个链接”。

链接。对，就是链接。我见过最有效的攻击不是零日漏洞，是伪造的登录页。域名差一个字母，界面一模一样。你输密码，它转圈，然后跳回真网站。你以为什么都没发生。这类页面在黑市卖五十美元一套，带后台，能看实时输入。买的人不一定是黑客，可能是想查配偶的普通人。

有次我帮一个记者查泄露的数据库。三千万条记录，姓名、身份证、住址、手机号。来源是某快递公司的外包客服系统。数据在论坛上挂了两个月，没人管。我写了个脚本去重，发现其中四十万条是重复的——说明导出的人没做清洗。这种粗糙感反而真实。真正的黑产链条里，没人在意优雅。

说到优雅，我认识一个做渗透测试的。他进客户内网的方式是给前台打电话，说“IT部要更新打印机驱动”，然后发个带宏的文档。成功率七成。他管这叫“社交工程”，我觉得就是骗。但他有原则：只做授权测试，报告里连截图都打码。他说这行干久了，看谁都像漏洞。

我自己呢？现在很少碰非授权的目标。不是怕，是没意思。你攻进去，发现里面一团糟，管理员密码是“123456”，数据库备份在共享盘上。你甚至能猜到他们下周会中勒索病毒。这种预见性让人疲惫。就像你站在一栋着火的大楼前，知道里面的人还在睡觉。

前几天清理旧硬盘，翻到一份2016年的扫描记录。一个大学教务系统，SQL注入点还在。我犹豫了十秒，关掉了窗口。有些门你知道怎么开，但没必要再推了。光标还在闪。我合上电脑，窗外天快亮了。