社工库人肉查询

凌晨三点，社工我盯着屏幕上一串脱敏后的库人手机号尾号，后背发凉。肉查那不是社工我的号码，但前缀区号、库人运营商段位、肉查甚至入网年份，社工都精准得像是库人从我的通话账单里直接扒下来的。这行数据来自一个号称“全网可查”的肉查社工库查询页面，付费十八块八，社工输入对方QQ号，库人三秒后返回关联手机、肉查历史密码、社工甚至外卖收货地址。库人

社工库这东西，肉查说白了就是一堆被拖库、撞库后的数据残骸，被人按“姓名—身份证—手机号—住址”的索引重新码放整齐。你以为是黑客的暗网黑话？不，现在它已经下沉到Telegram群里明码标价，甚至有人做了带图形界面的查询站，像淘宝一样支持“按次付费”。我试过一次，输入一个朋友的微博ID，返回的关联信息里居然有他五年前用过的游戏账号密保答案——那答案是他小学班主任的名字。

人肉搜索的逻辑早变了。早年间是论坛大佬用公开信息拼图，靠的是人肉耐力；现在直接调数据库，精确到某年某月某日某人在某酒店用某张银行卡刷了一笔外卖。数据泄露不是新闻，数据被反复倒卖、清洗、关联成“人物画像”才是常态。有个做黑产的哥们儿跟我喝过一顿酒，他说他们管这叫“洗数据”——把几亿条乱码洗成能直接拿去骗贷、精准诈骗的“料”。他手机里存着一个Excel，列着某个三线城市所有公务员的家庭住址和子女就读学校，更新日期是上周五。

最讽刺的是，查询的人往往不觉得自己在作恶。我在一个社工库交流群里潜水，有人求查“疑似出轨的老婆开房记录”，有人查“欠钱不还的老赖住址”，还有人查“网暴自己的喷子身份证号”。每个人都觉得自己是受害者，是“用魔法打败魔法”。但当你输入那个号码的瞬间，你就成了数据黑链上的一环——你的查询IP、你的支付记录、你关联的社交账号，全被后台默默记录下来，成为下一轮被“洗”的原料。

技术层面其实没什么高深的。大部分社工库查询依赖的是老漏洞——撞库（拿泄露的密码去试别的平台）、拖库（直接攻破服务器拿全部数据）、还有爬虫抓取公开信息再交叉验证。真正难的是“清洗”和“关联”，需要写代码把不同来源的数据按身份证号或手机号做模糊匹配。我见过一个脚本，能把微信运动步数和支付宝账单时间戳对齐，推断出你几点回家、几点出门。这活儿不需要天才，需要的是耐心和一点点Python基础，外加一颗不设防的心。

写这篇文章前，我删掉了浏览器里那个查询页面的书签。不是因为我突然道德高尚了，而是我意识到：每一次查询，都是在给那个数据库添一把火。你查别人，别人也在查你。数据不会消失，只会从一手买家流向二手贩子，最后落在某个深夜失眠、心怀怨怼的普通人手里——就像此刻坐在屏幕前的你。