2023年，渗透一个19岁的别人大学生因为“觉得好玩”，用网上找的站违漏洞扫描工具黑进了学校教务系统，把期末成绩改成满分。渗透三天后警察敲开他宿舍门时，别人他还在跟室友炫耀自己的站违“黑客技术”。最终他被判刑八个月，渗透缓刑一年，别人档案上永远留下案底。站违

渗透别人的渗透网站违法吗？这个问题问出来，本身就透着一股侥幸。别人刑法第285条写得清清楚楚——非法侵入计算机信息系统罪，站违最高判七年。渗透别以为“只是别人看看不搞破坏”就没事，只要未经授权进入系统，站违哪怕你只是把首页截图发朋友圈炫耀，已经构成犯罪。

有个做安全测试的朋友跟我说过一句实话：“我们和黑客的区别，就是手里那份授权书。”他给银行做渗透测试，光签合同就花了三周，条款细化到“允许测试的时间段”“可触碰的数据范围”“发现漏洞后的报告时限”。没有这些白纸黑字，技术再牛也是犯罪。

你可能觉得，我学点技术练练手怎么了？GitHub上那些开源靶场不够你玩的？DVWA、WebGoat，全是合法练手环境。非要去碰真实网站，就跟拿灭火器对着邻居家房子喷一样——你说你在练习救火，谁信？

更麻烦的是，很多渗透行为根本不受你控制。你以为只是扫了个端口，结果对方服务器在境外，国际司法协作一来，跨国追责够你喝一壶。我认识一个搞安全的工程师，有次为了验证自家产品漏洞，顺手测了下竞争对手的网站，结果对方直接报警。他说那三个月，光配合调查就跑了六趟派出所，最后虽然没定罪，但公司差点把他开了。

别拿“白帽黑客”给自己贴金。真正的白帽，要么是安全公司员工，拿着客户授权干活；要么通过漏洞众测平台提交报告，平台会先审核你的测试范围。那些自己摸进别人系统，然后“好心”提醒对方补漏洞的，法律上叫“未经授权访问”，跟入室盗窃后留张纸条“你家门锁该换了”性质一样。

技术本身没有善恶，但行为有边界。你敲代码的手，能写防御工具，也能写攻击脚本。区别就在你按下回车键前，有没有那份法律认可的许可。想练技术，靶场、CTF比赛、众测平台，渠道多的是。非要去碰那些不属于你的系统——这不是技术问题，是脑子问题。

(责任编辑：知识)