白帽子黑客龙哥

凌晨三点，白帽龙哥发来一张截图。黑客某个知名电商平台的龙哥数据库，正以明文形式暴露在公网，白帽连密码都是黑客123456。他打了个哈欠，龙哥随手把漏洞报告塞进平台官方的白帽SRC系统，又去泡了碗泡面。黑客这不是龙哥电影场景，是白帽龙哥的日常——白天他是某安全公司的渗透测试工程师，晚上是黑客漏洞赏金猎人，圈内人称“白帽子黑客龙哥”。龙哥

第一次见龙哥，白帽是黑客在北京一间不到十平米的出租屋里。桌上三台显示器，龙哥一台跑着Burp Suite抓包，一台开着代码编辑器，还有一台正循环播放《猫和老鼠》。他说看汤姆和杰瑞能激发灵感，因为“抓漏洞和抓老鼠差不多，都得预判对方的预判”。我问他干这行最怕什么，他嚼着口香糖：“最怕甲方说‘我们系统很安全’，然后我三分钟就进了后台。那种尴尬，比相亲失败还难受。”

龙哥入行纯属意外。大学学的是机械，大二时为了追一个计算机系的姑娘，硬啃了半本《Web安全攻防》。姑娘没追到，倒是把学校教务系统给“攻陷”了——不是搞破坏，是他发现成绩查询接口存在SQL注入，能直接看到所有学生的绩点。他吓得连夜给信息中心发了邮件，第二天辅导员找他谈话，他以为要挨处分，结果信息中心主任握着他的手：“同学，来我们部门实习吧。”

那以后龙哥就上了道。他给我讲过最刺激的一次：某政务App上线前，他做众测，发现一个逻辑漏洞——只要修改请求包里的一个字段，就能免费充值公交卡。他没敢多试，只充了一块钱验证漏洞存在。提交报告后，对方技术团队连夜修复，第二天给他转了5000块奖金。龙哥拿着这笔钱换了台新显卡，说“这是用智商换来的装备”。

但这行也有灰色地带。有次一个“客户”找到他，出价二十万，让他“测试”某竞品公司的会员系统。龙哥直接把人拉黑了，转头在朋友圈发了条动态：“漏洞是拿来补的，不是拿来捅的。谁要拿我的技术去干脏活，先问问我手里的键盘答不答应。”底下评论区炸了，有人点赞，有人说他装清高。他不在乎，只回了一句：“白帽子要是黑了一半，那跟黑客有什么区别？”

现在龙哥带了个小团队，专门给中小企业做安全巡检。他有个习惯，每次渗透测试完，都要给甲方写一份“人话版”报告——不堆术语，就写“你的后台密码是admin，赶紧改，不然隔壁老王都能登进去”。他说很多公司不是不重视安全，是根本不知道自己哪里漏了。有次他帮一个做生鲜电商的客户排查，发现对方服务器上还留着三年前的测试账号，他摇摇头：“这就像家里门锁坏了三年，一直没换，还贴了张纸条写着‘欢迎光临’。”

上个月他刚过了三十岁生日，在朋友圈晒了一张照片：桌上放着三样东西——一台ThinkPad、一顶印着“白帽”字样的棒球帽、还有那本翻烂了的《Web安全深度剖析》。配文是：“希望十年后还在写代码，还能在三更半夜为找到一个漏洞而兴奋得睡不着觉。”

龙哥常说，白帽子黑客这行，干的是“替人擦屁股”的活儿，但擦得心甘情愿。因为每一次修补，都可能挡住一次真正的攻击。他手机里存着一张截图，是某个被他帮过的公益组织发来的感谢信，末尾写着：“谢谢你没让我们的捐款系统变成提款机。”

窗外天快亮了，龙哥又接到新活儿——某医院预约系统疑似存在越权漏洞。他灌了口凉咖啡，手指在键盘上敲得飞快，屏幕上的代码像流水一样倾泻而出。汤姆和杰瑞还在角落里追着跑，他头也不抬地说：“这活儿干完，得去吃顿好的。毕竟，救人的系统，不能出事。”