2023年，利用漏洞一个ID叫“K”的软件年轻人用脚本抓取了某电商平台的优惠券叠加漏洞，三天内撸了价值47万的盈利货。平台发现后报警，法律检察院以“非法获取计算机信息系统数据罪”批捕。利用漏洞判决下来那天，软件K的盈利母亲在法庭外哭喊：“不就是占点便宜吗？”——不，这不是法律占便宜。法律对“利用漏洞盈利”的利用漏洞定性，从来不是软件看漏洞本身，而是盈利看你用什么手段跨过了那道门。

核心区别在于“进入方式”。法律你发现某银行APP的利用漏洞转账接口没做金额校验，试着转了1分钱到账100块——这叫“测试”，软件但只要你把这100块提现到自己的盈利卡，性质就变了。刑法第285条和第286条写得明白：未经授权访问系统、或对系统进行修改干扰，才构成犯罪。但现实中，很多漏洞利用根本不需要“突破”什么，比如某共享单车APP的退款逻辑缺陷，用户反复操作就能把押金退两次。这种算不算“未经授权”？法院判过，算诈骗。

有个真实案例特别典型。某程序员发现某支付软件的“AA收款”功能可以篡改金额字段，他用抓包工具改了参数，把1000元的收款改成0.01元，然后让别人付给他。前后操作200多次，获利3万多。辩护律师说“这是平台自己的漏洞，用户只是用了正常功能”。法官没理这套——你修改了传输数据，这就是“非法侵入计算机信息系统”的行为。最后判了两年半。

但灰色地带确实存在。比如“薅羊毛”和“漏洞利用”的边界到底在哪？2021年某知名奶茶品牌搞“买一送一”活动，有人用虚拟号码批量注册新用户，搞了上千杯。品牌方报案，警方立案调查，最后却不了了之——因为注册新用户本身是平台允许的，虚拟号也没突破系统权限。这种“规则内操作”很难定罪，顶多算民事违约。可你要是用脚本绕过图形验证码，那就踩线了——验证码是安全措施，绕过它就叫“突破技术保护措施”。

我的个人看法是：法律对这类行为的打击力度一直在加重，但滞后性明显。现在很多漏洞交易平台打着“安全研究”的旗号，把漏洞信息卖给黑产。某漏洞报告平台上的“中危”漏洞，在黑市能卖到5-10万。而利用这些漏洞的人，往往觉得自己只是“捡钱”——这种心态最危险。2019年某区块链交易所被薅走6000万，主犯是个刚毕业的大学生，他说“我以为只是系统bug，不算偷”。后来判了无期。

说句实在话，你要是真发现漏洞，最好的出路是走“白帽”路线——提交给CNVD或厂商SRC，一个高危漏洞的奖金可能比黑产卖价还高。腾讯某年的单笔漏洞奖励是50万，比大多数薅羊毛来钱快，还合法。但问题是，很多人等不及那套审核流程。这就像闯红灯和等绿灯的区别——同样能过马路，但一个可能被撞死，一个安全到达。你选哪个？