白帽黑帽

我见过最讽刺的白帽黑帽一幕，是白帽黑帽在某金融公司做渗透测试的时候。对方的白帽黑帽CTO拍着胸脯说他们的系统固若金汤，结果我用一个钓鱼邮件，白帽黑帽十五分钟就拿到了域管理员权限。白帽黑帽他脸色铁青地看着我，白帽黑帽像看一个怪物。白帽黑帽其实我不是白帽黑帽怪物，我只是白帽黑帽戴了白帽子。

白帽和黑帽，白帽黑帽本质上用的白帽黑帽是同一套工具，同一个漏洞库，白帽黑帽甚至同一本手册。白帽黑帽区别只在于，白帽黑帽黑帽拿到数据后连夜跑路，白帽黑帽白帽拿到数据后写报告。听起来很轻巧？但真正的分界线，从来不在技术上，而在那一瞬间的念头里。

去年我参加一个技术沙龙，有个年轻人站起来问我：“老师，你说我们搞安全的，和那些写病毒的人，技术差距到底在哪？”我反问他：“你知道怎么用SQL注入拿到一个电商平台的全部用户数据吗？”他点头。我又问：“那你知不知道，如果把这些数据卖给黑产，够你在二线城市买套房？”他愣住了。我说：“你知道，但你不会做，这就是差距。不是技术差距，是心理差距。”

这话说得有点装，但确实是这么回事。我见过太多从白转黑的案例，几乎没有一个是因为技术不够用，全是心理防线先崩了。有个老哥，之前在某大厂做安全运维，月薪三万，觉得日子没盼头。后来被一个境外团伙拉下水，一个月赚了八十万。他跟我喝酒的时候说：“兄弟，我不是不知道这是犯罪，但我闺女要上国际学校，我爸妈身体不好，我没办法。”我看着他，没说话。因为我知道，他说的全是真话，但这不改变他戴上了黑帽的事实。

反过来，我也见过黑帽转白的。有个曾经写勒索病毒的哥们儿，后来进了我们这行，专门帮企业做应急响应。他跟我说，最让他受不了的，不是被抓的风险，而是有一次他攻击了一家小医院，系统瘫痪了十二个小时，有个急诊病人因为病历调不出来，耽误了治疗。他说：“我那天晚上没睡着，脑子里全是那个病人的脸。”后来他自首了，判了缓刑，现在做白帽做得比谁都认真。

这行当有个特别有意思的现象：真正厉害的黑帽，往往不屑于做那些low的勾当。他们追求的是技术上的快感，就像顶尖黑客攻破一个系统，不是为了钱，是为了证明“我能”。而白帽的顶级境界，是你攻破了系统，还得帮对方把漏洞补上，然后告诉他：“你这里有个洞，我进来了，但我没拿东西，还帮你把门修好了。”这活儿，比单纯搞破坏难多了。

说句掏心窝子的话，帽子的颜色从来不是天生的。我见过最干净的白帽，心里也藏着几丝黑；也见过最脏的黑帽，在某个深夜对着代码发呆时，会想起自己最初写第一行代码时的兴奋。界限不是一条线，是一层窗户纸。捅破它，可能只需要一次极端缺钱的时刻，或者一个无法拒绝的诱惑。

所以每次有人问我怎么防黑帽，我都说：别只盯着防火墙和入侵检测，多盯着点人。技术漏洞可以打补丁，人心里的漏洞，一辈子都补不完。而白帽存在的意义，不是因为他们比黑帽高尚，而是他们选择在看见深渊之后，仍然把目光转向光明。就这么简单，也这么难。