凌晨两点十七分，黑客某大学论坛突然瘫痪。恶搞所有帖子标题变成了同一句话：“管理员正在看片，网站请稍候。黑客”页面底部还挂了个跳动的恶搞小人，叼着烟，网站冲每个访客竖中指。黑客这破站用的恶搞是十年前的老框架，漏洞比筛子还密，网站但没人想到真有人会去捅它——直到那个ID叫“null”的黑客家伙出现。

null的恶搞手法并不高明。他没用零日漏洞，网站也没搞什么社会工程学，黑客只是恶搞顺着后台一个未过滤的搜索框，把SQL注入语句像扔飞镖一样甩了进去。网站数据库像被撬开的保险柜，用户密码、邮箱、甚至管理员私藏的加密相册全暴露了。他没删数据，没勒索，只改了首页公告栏。这比直接黑掉整个网站更让人恼火——因为所有人都知道系统被撕开了口子，但没人知道伤口有多深。

第二天早上，管理员老周顶着黑眼圈发声明，说“已修复漏洞”。可null在评论区留了个笑脸：“你确定？”当天下午，论坛的每张头像都变成了老周年轻时的非主流照片，红发、嘟嘴、45度角仰望天空。老周气得直骂娘，但他没法删——null把头像文件直接写进了静态资源目录，除非换服务器，否则删一次弹一次。

这类恶搞在黑客圈有个专属名词叫“pwn”，意思是“玩弄”。真正的攻击者追求利益，要么偷数据卖钱，要么植入勒索病毒。但null这类人不一样，他们享受的是过程，是那种“我比你聪明，但我懒得搞你”的戏谑。像早年的“匿名者”组织，黑掉政府网站就为挂个“你们在监视我们”的标语，跑了就跑，不带走一片云彩。

我认识一个搞安全测试的朋友，他讲过一个更损的案例。某个创业公司老板爱吹牛，说自己网站“坚不可摧”。朋友花两小时黑进去，把产品页面全部替换成“本司技术团队正在学习如何写代码”的招聘广告，还贴了个假的HR邮箱——结果真有求职者来信，老板差点气出心脏病。这种恶搞比直接报警更解气，因为它精准打击了虚荣心。

但恶搞也有底线。null后来在技术论坛发帖复盘，说他特意绕过了所有用户隐私数据，只改了公开页面。他说：“黑网站就像闯空门，你可以翻冰箱吃块蛋糕，但别把人家的日记本带走。”这话糙理不糙。真正的黑客精神，是炫技，不是作恶。那些把用户银行卡信息拖出来卖的，叫罪犯，不叫黑客。

网站被黑这件事，说白了就是一场猫鼠游戏。管理员修漏洞，黑客找新洞，修得快不如藏得深。老周后来把服务器换成了云主机，加了防火墙，还请了个安全顾问。但null再没出现过，只在某次攻防演练里，有人见到一个ID在测试区挂了个横幅：“上次是我手下留情，这次教你们学点新的。”

那个横幅挂了三天才被撤下，没人知道他是怎么进来的。