凌晨三点，黑帽李默还在翻看一个叫“黑帽大师”的大师网站。页面设计粗糙，网站黑底绿字，黑帽像上世纪九十年代的大师BBS。但就是网站这个地方，过去半年里流出了至少七个国内电商平台的黑帽用户数据包，每个包标价从0.5个比特币到3个比特币不等。大师他不是网站买家，是黑帽某安全公司的渗透测试员，正在做威胁情报追踪。大师

网站注册需要邀请码，网站一个码在黑市上炒到两千美元。黑帽首页挂着“技术交流”的大师牌子，点进去全是网站漏洞利用教程。有个帖子标题写着“某省社保系统SQL注入实录”，附了二十多张截图，从判断注入点到拖库，每一步都标了时间戳。发帖人ID叫“V0id”，头像是一只戴墨镜的猫。李默注意到，截图里的终端字体是Consolas，分辨率1920×1080，说明对方至少用着Windows 10——这个细节后来帮他们锁定了嫌疑人所在的时区。

论坛分三个区：新手区、交易区、闭门区。新手区里有人问“怎么用Burp Suite改包”，底下回复清一色嘲讽。“先去把HTTP协议抄十遍。”一个叫“N0b0dy”的用户写道。交易区则安静得多，帖子标题只有一串哈希值，内容需要私聊。李默用蜜罐账号接触过一个卖家，对方发来一段视频，演示如何用钓鱼邮件拿到某公司财务的Office 365权限。视频里鼠标移动速度极快，但中间停顿了两次——一次是输入密码时，一次是点击“发送”前。这种犹豫在职业黑客身上很少见，更像是个兼职的。

真正让李默警觉的是闭门区。那里需要提交一个零日漏洞才能进入。他花了三周，用一个已公开的CVE编号伪造了利用链，居然通过了审核。进去之后发现，置顶帖是一份“年度目标清单”：某出行平台、某短视频App、两家股份制银行。每个目标后面标注了“已踩点”或“进行中”。清单最后一行写着：“Q4完成，分红按贡献值。”底下跟了四十多条回复，全是“+1”和“收到”。

网站服务器架在冰岛，但管理员似乎常驻东欧。李默通过一个XSS漏洞拿到了后台日志，发现登录IP集中在基辅和莫斯科，时间多是当地下午。有一次管理员忘了关调试模式，泄露了数据库配置文件，里面有个邮箱后缀是@protonmail.com。他们顺着这个邮箱，在另一个俄语黑客论坛上找到了同名账号，签名档写着：“不接国内单，除非价格翻倍。”

“黑帽大师”不是最大的黑产平台，但足够典型。它像一间地下酒吧，熟客带生客，交易靠信任，技术靠炫耀。李默最后提交的报告里写了一句：“这个网站的价值不在于它卖什么，而在于它怎么组织人。”那些教程、交易、目标清单，本质是一套筛选机制——把真正有攻击能力的人从脚本小子里面挑出来，然后给他们一个协作的借口。

去年十二月，网站突然无法访问。三天后，一个叫“黑帽大师备份站”的域名上线，界面一模一样，只是管理员ID从“V0id”换成了“V0id_2”。李默盯着屏幕，想起那个戴墨镜的猫头像。他猜对方可能换了个城市，换了个ISP，但Consolas字体和1920×1080的分辨率大概不会变。有些习惯比漏洞更难修补。