2023年秋天，中国某省级政务平台的白帽一次内部演练中，一个27岁的黑客年轻人用11分钟突破了三级权限，拿到了数据库管理员的中国操作日志。他没删任何东西，白帽只是黑客截了图，写了一份漏洞报告，中国然后点了一份黄焖鸡米饭。白帽

这人叫陈默，黑客圈内ID是中国"白桦"。他的白帽日常身份是某安全公司渗透测试工程师，周末则泡在补天和漏洞盒子这类众测平台上。黑客中国像他这样的中国白帽黑客，全职加兼职，白帽大概有十几万人——这个数字来自2022年一份行业报告，黑客不一定精确，但你能感觉到这个群体正在膨胀。

他们和电影里的黑客完全是两码事。没有黑进银行系统转走几百万的戏码，更多时候是盯着屏幕上一堆代码发呆，试图在某个老旧系统的登录框里找到注入点。陈默说，他干过最枯燥的活儿是给一家医院做测试，整整三天都在翻一个2008年上线的预约挂号系统，"那玩意儿用的是PHP 5.2，你懂吧，跟考古差不多"。

钱不多，事儿不少

白帽的收入差距极大。头部选手在众测平台上月入五万以上，但那是金字塔尖。更多人的状态是：白天上班，晚上熬夜挖洞，一个月多赚三五千块零花钱。陈默去年在补天上提交了47个有效漏洞，累计奖金不到四万。"比送外卖强点，但你要是算时薪，有时候真不如去跑滴滴。"

真正让他们留下来的，不是钱。是那种"我发现了别人没发现的东西"的快感。有个叫"老狗"的白帽，40多岁，本职是中学计算机老师。他花了两个月时间，发现某款国产路由器固件里存在一个后门账户，厂商起初不承认，他直接把分析过程发到了GitHub上，三天后厂商推送了紧急更新。"那一刻觉得，值了。"

灰色地带与红线

白帽和黑帽之间的界限，有时候就隔一层窗户纸。未经授权测试系统，哪怕你什么都不干，在法律上也可能构成非法侵入。2017年《网络安全法》实施后，情况好了些，但实操中仍然模糊。陈默说他每次接活之前，必须拿到书面授权，"口头说'你测吧'，我绝对不碰"。

有件事他印象很深。2021年，一个刚入行的小伙子发现某电商平台有逻辑漏洞，能一分钱买手机。他没提交漏洞，而是自己下了三单。结果货没收到，警察先到了。判了两年，缓刑三年。"你说他算黑帽还是白帽？他一开始就是想证明自己能找到漏洞，但没忍住。"

圈子里的规矩

中国白帽有自己的社区文化。补天、漏洞盒子、i春秋这些平台，既是交易市场，也是社交场。新人进去先看"公益SRC"板块，给教育、医疗类网站免费找漏洞，攒积分换证书。老手则混"企业SRC"，直接跟厂商安全团队对接。

圈子里有个不成文的规矩：发现漏洞后，先给厂商7到30天的修复期，过了期限还没动静，才考虑公开。但公开也有讲究——只发漏洞原理，不发利用工具。"你要是把POC直接甩出来，以后没人跟你玩了。"陈默说这话时，正把手机屏幕翻给我看，上面是一个微信群的聊天记录，有人在抱怨某厂商"修得慢还态度差"，底下十几条回复，全是"习惯就好"。

他们到底在保护什么

去年冬天，陈默参与了一次针对某市公交系统的渗透测试。他在调度后台发现了一个未授权的访问接口，能实时看到所有公交车的GPS位置和司机排班表。厂商修复后给他发了封感谢信，附了5000块奖金。

他把那封信截图发了朋友圈，配文是："这城市每天有200万人坐公交，没人知道我们干过什么。"底下点赞的，一半是同行，一半是完全不懂技术的朋友。

中国白帽黑客这个群体，说到底就是一群在数字世界里找裂缝的人。他们不穿斗篷，不敲键盘如飞，更多时候是沉默的。你用的每一款App、每一次扫码支付、每一张电子病历背后，可能都有他们留下的痕迹——一个被修复的漏洞，一段被堵死的攻击路径。没人看见，但确实存在。