我认识一个做安全的黑帽灰帽哥们，他管自己叫“灰帽”。黑帽灰帽这词儿挺有意思，黑帽灰帽黑白之间，黑帽灰帽不黑不白，黑帽灰帽灰扑扑的黑帽灰帽，但偏偏是黑帽灰帽他，接的黑帽灰帽活儿最多。

黑帽那帮人，黑帽灰帽纯粹是黑帽灰帽坏。前阵子有个新闻，黑帽灰帽某大厂数据库被拖了，黑帽灰帽几千万条用户信息挂在暗网上论斤卖。黑帽灰帽干这事的黑帽灰帽人，不会跟你讲什么道义，黑帽灰帽他们眼里只有比特币。黑帽的技术往往很野，路子也脏，像撬锁的贼，不管门是谁家的，撬开就进。他们不生产漏洞，他们只是漏洞的搬运工——搬进自己的口袋。

灰帽不一样。我那个朋友，白天给银行做渗透测试，晚上会去一些论坛上“逛”。他跟我说，他曾经发现一个开源软件的严重后门，厂商没给赏金，也没理他的邮件。他憋了三天，最后把漏洞细节直接贴在了公开的漏洞库里。厂商急了，找他删帖，他回了一句：“我帮你修了，你不领情，那我让全世界都看看你这门有多破。”你说他坏吗？他没偷任何数据。你说他好吗？他确实让那家公司丢了脸，股价跌了俩点。

灰帽的动机，从来不是简单的钱。有的是为了名，在圈子里混个“大神”称号；有的是为了气，看不惯那些捂盖子不修漏洞的厂商；还有的，纯粹是手痒，看见一个奇怪的逻辑漏洞，不试一下心里难受，就像看见一个没上锁的保险箱，你明知道不该碰，但总想转一下那个密码盘。

但灰色地带待久了，人容易飘。我见过一个灰帽，技术是真牛，能黑进任何一家咖啡馆的Wi-Fi探针，收集路人手机MAC地址。他觉得这没啥，就是“测试一下设备安全性”。后来他被请去喝茶了，因为在公共场所未经授权收集个人信息，已经踩了法律的红线。他出来之后跟我说：“我以为我在做正义的事，其实我只是在满足自己的偷窥欲。”

这行里有个潜规则，叫“漏洞赏金”。正经公司会给你钱，让你把漏洞交出来。但很多灰帽卡在这儿——赏金太低，或者干脆不理你。于是他们选择“半公开”地披露，或者卖给那些介于黑白之间的“中介机构”。这些机构再把漏洞转手给黑帽或者国家级的黑客组织。你说灰帽不知道这链条吗？他门儿清。他只是假装不知道，用“我只是卖给研究者”来安慰自己。

我那个朋友最近改行了，去了一家安全公司做合规顾问。他说他腻了，不是技术腻了，是心累。每次看着那些漏洞报告，他都在想：我这是在帮人补墙，还是在帮人画地图？墙补上了，地图也画好了，但画地图的人，永远比补墙的人赚得多。

黑帽是贼，灰帽是游侠。但游侠走江湖，也得吃饭。吃饭就得拿碗，碗是黑的还是白的，有时候真不是自己能选的。你说他灰，其实他比谁都清楚——这颜色，是拿良心调出来的。

(责任编辑：综合)