脚本小子，脚本英文叫script kiddie，意思指那些只会复制粘贴现成攻击工具、脚本根本不懂原理的意思“黑客”。他们不是脚本靠技术，而是意思靠工具包和教程混日子。

我见过一个典型例子。脚本大学时隔壁宿舍有个哥们，意思花五十块钱买了个“入侵软件”，脚本对着学校教务系统一顿乱扫。意思结果呢？脚本啥也没攻破，倒把自己电脑整蓝屏了。意思他连那个软件是脚本怎么发包的都不清楚，更别提分析返回的意思数据包了。这哥们就是脚本标准的脚本小子——用着别人写的漏洞利用代码，却连SQL注入和XSS的区别都讲不明白。

真正的黑客会花几个月研究一个漏洞，写自己的工具，理解底层协议。脚本小子呢？他们打开GitHub，搜“exploit”，下载个现成的，改改参数就开打。打不进去就换个工具，再不行就骂骂咧咧地放弃。整个过程不超过半小时，跟玩手机游戏似的。

为什么这词带贬义？因为这帮人拉低了“黑客”的门槛。以前提到黑客，大家想到的是穿帽衫的极客在深夜敲代码，破解加密算法。现在呢？脚本小子让“黑客”变成了“下载个软件点两下”的活儿。更气人的是，他们捅了篓子还跑得快——用着别人的工具，留下了自己的IP，最后被查水表的却是自己。

但话说回来，谁没当过脚本小子呢？我刚开始碰网络安全那会儿，也天天用Nmap扫描器扫自己家的路由器，拿Metasploit框架对着测试靶机乱打。区别在于，有些人扫完就完了，有些人会问“为什么这个端口开着就能被利用？”——后者慢慢就爬出了脚本小子的坑。

工具本身无罪，罪在不动脑子。脚本小子的核心问题是“知其然不知其所以然”。他们像拿着扳手却不知道螺丝长什么样的修理工，拧坏了就换一把扳手，从来不研究螺纹的走向。

现在这词的使用范围变宽了。有人把用ChatGPT写代码还跑不通的人也调侃成“AI脚本小子”。仔细想想，逻辑确实一样——依赖现成工具，缺乏底层理解，出了问题只会换提示词，不会调试。区别只是攻击目标从服务器变成了编译器。

要是你发现自己正在当脚本小子，别慌。这是条必经之路，但别待太久。挑个你常用的工具，打开它的源码，读不懂就查文档，查完再读。逼自己写个比工具简单一百倍的替代品。哪怕是个只能扫端口的Python脚本，写出来你就比纯脚本小子高一个段位了。

说到底，脚本小子是个阶段，不是标签。有人一辈子停在那儿，有人花几个月就跨过去了。看你选择哪条路罢了。