黑客暗战 —— 黑帽、白帽、灰帽背后的隐秘世界
“世界上有三种人：一种是被黑过，一种是不知道自己被黑过，还有一种是不承认自己被黑过。”
一位穿着灰衬衣黑长裤的年轻人在发表演讲。他中等个头、精瘦，略显紧张地单手插在口袋里。台下黑压压地坐着三百多人，大多是来自各地的黑客。听众们只知道这位年轻人的网名叫“猪猪侠”，他的身份是乌云社区的头号白帽子黑客。
在黑客的世界中，黑帽子和白帽子的称呼分别代表两种对立的角色——以网络信息牟利的恶棍和保护网络安全的英雄。这种说法缘于美国早期西部片以白帽和黑帽区分正邪双方。
这是在2014年9月12日乌云首届安全峰会上。峰会的主办者是国内著名第三方安全漏洞平台乌云网。乌云网由原百度安全专家方小顿在2010年创建，逐渐成为白帽子黑客的聚集地。他们相当于互联网的“啄木鸟”，随时监测各家网站漏洞，发出警告。
“后来我又想到第四种，就是正在被黑。”“猪猪侠”继续用他的南方口音说道。他并非危言耸听，在讲台的另一侧，一个针对现场听众手机的攻击正在进行——至少有3个人的银行卡余额、1个人的股票买卖等隐私信息出现在大会投影屏幕上。
在由信息流构成的网络世界中，这样的攻击几乎每时每刻都在发生。人们越离不开互联网，就越是身处险境。
在黑客诞生那会儿，其实世界不是这个样子。“黑客（Hacker）”一词原指用斧头砍柴的工人，1960年代这个词汇才被引入计算机圈。据《黑客： 电脑时代的英雄》一书记载，这个群体起源于1950年代的麻省理工学院。一群学生认为，信息都是应该公开的，可以被平等地获取。于是，他们闯入了当局限制 使用的一个计算机系统。
中国的黑客直到1990年代才露面。他们最初多是破解软件、用软盘复制小软件开始，第一次集体行动则颇具时代特色：在印尼排华事件后，向印尼政府网站的信箱中发送垃圾邮件。
最初的理想主义逐渐被金钱的诱惑所取代。在黑帽子隐身的地下世界中，一条买卖信息的产业链业已形成，并给黑帽子们带来了巨大利益。乌云创始人方小顿 曾在接受采访时称，可能一个并不起眼的黑客，某一天你就会发现他住上了好房，开起了好车。“目前最强的黑帽子和白帽子的收入差距大概是日薪一万和月薪一万 的差距。”
黑帽子的威胁使网络安全的市场需求激增。在《信息安全与通信保密》这份专业杂志的一份报告中称，2012年，中国网络安全产业规模达到216.40 亿元，同比增长20.9%。在A股上市公司中，涉及网络安全概念的至少达12家，这还不包括在美国上市、最高市值达100亿美元的奇虎360公司（纽交所 代码：QIHU）——这家公司自称拥有“东半球最强大的白帽子军团”。
在隐秘的战场上，白帽子和黑帽子的较量早就开始了。他们看不见对方，只能在一次次过招时才能感受到对方的存在。
“黑白”攻防战
每一个“信”就像一头牛，剥皮，拆骨，切肉，到了早上7点，只剩一摊血污。
在黑客的世界中，黑帽子和白帽子的称呼分别代表两种对立的角色——以网络信息牟利的恶棍和保护网络安全的英雄。他们看不见对方，只能在一次次过招时才能感受到对方的存在。
与想象中的魔法世界不同的是，黑白帽子的对抗常常不发生在同一时间。奇虎360公司攻防实验室副主任林伟对南方周末记者说，他们面对的往往是事前的漏洞挖掘，或是黑帽子在事后留下的犯罪现场。
根据痕迹顺藤摸瓜修复漏洞，甚至找到攻击者是他们最经常的任务。白帽子同样可能使用攻击手段——在入侵者的网页中植入木马，当其试图操作时，定位入侵者。
“漏洞”是双方攻防的焦点。所谓漏洞，即在网络系统中可以被利用的缺陷。黑帽子一旦发现漏洞，即可迅速展开攻击。
以“信封号”（即被盗的QQ号）产业为例。31位曾在微软、百度、麦肯锡工作过的分析师组成了研究团队TOMsInsight，他们在一份报告中描 述了销赃的全过程：通过发现漏洞、植入木马或其他攻击手段获得的一组QQ用户名和密码称为一个“信”，一个信封就是一万个（或者一千个）信的集合，拿到这 些信息被称为“取信”。
随后是“洗信”，将号内的Q币、游戏装备转移出售，挑出本身就比较值钱的“靓号”。洗过之后，这些“二手信”变成了推送各种消息的绝佳平台：群发广告、欺诈信息、QQ空间植入广告。最后，被榨净的QQ号还会卖给黑客用来编写密码字典。
到了第二天天亮，被盗号的用户通常会发现QQ号被盗，从而修改密码或者采取安全保护，让信封中大量的号失效。所以整个销赃的过程都集中在晚上12点至早上7点之间。每一个“信”就像一头牛，剥皮，拆骨，切肉，到了早上7点，只剩一摊血污。
黑客的攻击，常常是通过入侵网站，植入木马，给广告商做推广引流量；盗取QQ号等有价值的账号信息；在“黑链”中用SEO负面信息实行敲诈；更直接 的，通过破解厂商核心数据库，勒索或在网上售卖。企业的核心代码、金融信息和积累的巨量用户数据，这些商业价值巨大的信息也是黑帽子攻击的重点。
所有人都清楚，没有系统是完美不可破的。大多数安防系统的思路是，提高黑客突破的时间和技术成本，从而迫使攻击者放弃。
处于防御姿态的白帽子黑客在与黑帽子黑客的较量中，赢一次不能算赢，输一次就永远输了。“猪猪侠”说，“只要被黑一次，只要被黑客带走的信息足够多，下次他依然能够拿那些以往获取到的信息，再次黑进来”。
在乌云社区，白帽子们几乎每时每刻都在搜索漏洞。“猪猪侠”自己制作了扫描器来搜索一切漏洞，比起辛辛苦苦一个个寻找漏洞，他已经实现了自动攻击， 在乌云社区Rank值（提交的漏洞评分总和）高居第一。“只需要输入一个域名，用扫描器扫，不费体力。范围现在是全世界。”他对南方周末记者说。
由于断了黑帽子的财路，像乌云、奇虎360这样的安防公司也成了黑帽子疯狂攻击的对象。
“每个月都有好几次，这对于乌云这种规模的网站而言是很不正常的。”乌云联合创始人孟卓说，他在乌云上的ID是“疯狗”，尽管这与他本人的白净形象相去甚远。
奇虎360公司董事长周鸿祎也曾险遭暗算。有一次，奇虎360内部信息安全部门发现一个内部IP异常——这是一个访客接入无线网络后，试图暴力破解 周鸿祎的密码，以进入360的内网。由于周鸿祎的账号即邮箱地址是公开的，一旦密码被攻破，黑客将获得进入内网的权限，长时间潜伏也难以发现，可能触及的 信息将难以想象。
“我们派出人去跟踪信号，几乎就快要抓到了，最后在一个电梯口跟丢了。”奇虎360的一位内部安全专家对南方周末记者说。这件事甚至促使360开始发展无线安全产品，以补齐无线这一块短板。
白帽子崛起
在“知乎”上，“如何黑掉知乎”的问题被提出后，他就跟帖贴出了密码库的连接密码和用户数据的信息结构。
360公司一份内部PPT显示，2008年前，安全公司普遍净利润低，而在BAT（百度、阿里巴巴、腾讯）等大公司里，安全部门又不是产生价值的部门，不受重视。
近年来，黑帽子地下产业链的兴旺，却在无形中抬高了白帽子的身价，这也成了很多黑客跻身白帽子群体的动力。一批拥有传奇故事的ID转换成实名，出走创业，或者被印在了各大网络公司的员工卡上。
奇虎360董事长周鸿祎甚至亲赴外地寻找“网络神童”，此前，凭借高薪吸引，他已经打造了一支在业内堪称豪华的团队。曾被称为“驱动神童”的 MJ0011（本名郑文彬）目前任奇虎360首席工程师，他在接受南方周末记者采访时两次提到，“老周很讲义气”。周鸿祎曾在某次部门变动时点名将郑文彬 留下。
“演讲之后，‘猪猪侠’的身价可能就要超过百万了”，乌云的一名骨干团队成员说。
当“猪猪侠”演讲完后，南方周末记者通过QQ向他提出采访要求。很快，他就用QQ传过来一份2013年的南方周末通讯录截屏，“你应该是入职还不到一年吧？去年的通讯录里没有你”。
这样的“炫技”对“猪猪侠”来说已经成了一种习惯。他曾在2013年先后四次尝试漫游腾讯内部网络最终成功，四次入侵的连载帖子被众多白帽子奉为“神作”。他的前辈、腾讯安全的资深黑客lake2也将与他交手的经历写成文章，作为对自己防御系统的检讨。
他在著名问答社区“知乎”上有另一个ID“王音”。在“如何黑掉知乎”的问题被提出后，他就在跟帖上贴出了密码库的连接密码和用户数据的信息结构。
“猪猪侠”的真实身份依然是个谜团。至少有包括腾讯安全部门的lake2在内的三名资深黑客认为，“猪猪侠”就是声名远扬但从不露面的传奇黑客“V”。
曾任阿里巴巴高级安全专家的黑客吴翰清2013年在一篇博文中写到一个名叫“V”的传奇黑客，积累了一个去重后有13亿条数据的数据库。“每条记录，都包含了用户名、密码、身份证号（社保ID）、手机号、邮箱、登录IP等信息，覆盖了半个互联网。”
“V”在入侵后也从不删除数据或进行破坏，也不会用入侵获得的成果牟利，“他至今仍恪守着古老的黑客守则，就如同中世纪的骑士们执著于骑士精神一般”。
“猪猪侠”的黑客生涯缘起于一次游戏道具的失窃。初一的时候，他在盛大传奇44区的一个35级魔法师号被盗。“刚打到一本魔法盾就被盗了，相当失落。”时隔十多年，他仍把这段经历看做自己的耻辱。
魔法盾是游戏中魔法师角色学习关键技能的必需道具。而当他去搜索引擎中查找相关资料时，“木马”两个字出现了。因为账号被盗而失落、无聊，从网游《传奇》中走出，“猪猪侠”走进了一个更大的游戏场。
叛逆、挑战、对“突破规则”的渴望，也几乎是所有黑客起步的机缘。如果不是为了绕过网吧的收费系统，为了破解父母设置在电脑上的密码偷玩游戏，或是为了获得少量的Q币，可能许许多多在互联网上提交漏洞的白帽子们，还不知此刻会在何方。
方小顿说，“网络安全问题本身就存在于破坏规范中，处理网络安全问题的核心在于不守规矩。”这些知识不在传统的课堂上，相关专业也直至近年才出现。
白帽子的世界里，少有科班出身的“网络医生”，更多的是草莽出身的“屠狗者”，在网络世界闯荡江湖，获得各自的“魔杖”后，他们选择戴上了属于自己的白帽子。吴翰清对南方周末记者说，“以前在阿里巴巴，（安全方面）最核心的人，有一半就是没有本科学历的”。
像“猪猪侠”这样的白帽子，在乌云平台上注册的有6214名，活跃的超过1000名，足以组建好几家专注安全的互联网公司。其中20名核心白帽子的技术实力，可能令任何一家专业厂商都无法小觑。在不少互联网企业的招聘要求中，在乌云上提交过漏洞，甚至成为一个前置条件。
在拥有了诸多黑客高手之后，乌云也逐渐有了丰厚回报。整个乌云峰会期间，乌云管理团队成员杨蔚就不断地在接电话、回信息，其中不乏“众测”的业务电话。“众测”是一种由厂商提供产品，由乌云组织白帽子专门为其寻找安全漏洞的众包生产模式。
杨蔚没带名片。“我要是拿100张名片来，肯定早就发光了。现在众测排队已经排到了10月份，一个月可能有十几个项目，总金额也有五六十万元了。”他的语速极快。
发现漏洞本身也有了价格。很多网络公司、安防公司会发起悬赏，漏洞提交者可能得到不菲的现金奖励。有的漏洞帖子末尾，将会出现金灿灿的美元符号。在各大厂商每月的“土豪榜”里，依靠提交漏洞而获得数万收入者并不鲜见。
首届乌云峰会结束后的当天晚上，超过百名白帽子聚集在北京798艺术区的一家名叫“WOOYUN CLUB”的酒吧里。这是乌云网2014年8月创办的黑客酒吧，如今只是试营业状态，酒水单都尚未印全。
酒吧玻璃墙上的代码串和外墙上的涂鸦都来自黑客世界，几乎每个名词都对应着一种网络攻击的形式。出入这间酒吧的人，多以网络ID示人，酒单上也印着 只有黑客才能看懂的酒名，如“DDoS”这款鸡尾酒。“DDoS”是一种常见的流量攻击方式，以一段时间内占用大量网络资源，使服务器瘫痪为目的。
坐在酒吧里的白帽子在明处，黑帽子在暗处。事实上，还有一种不黑不白的灰色地带。
“猪猪侠”在乌云提交的许多漏洞描述中，都会有一句声明“未做深入研究”，意即为发现漏洞点到为止，但并未非法窃取数据。这也是大多白帽子在寻找漏洞时面临的边界。厂商在回复时，也常加上一句，“请各位白帽子在安全测试中注意遵守国家相关法律”。
众多白帽子都觊觎着“猪猪侠”多次祭出的大杀器——漏洞扫描器，希望能够公开放出。但猪猪侠看起来没有这样的打算。显而易见，保证自己都并非易事，他很难保证每一个得到“武器”的人，也“不做深入研究”。
吴翰清对南方周末记者表示，根据刑法新的修正案，未经授权入侵他人计算机的行为，都是非法的。乌云也在《信息安全相关保护与声明》中写道，“白帽子需要保证研究漏洞的方法、方式、工具及手段的合法性，乌云对此不承担任何法律责任”。
事实是，绝大多测试在没有授权的情况下进行。众多的白帽子，行走在无人把守的危险边界。
一位乌云白帽子谈到黑白帽子的界限时说，前期分析、获得漏洞的过程几乎没有区别，“白帽子会说自己是白帽子，黑帽子从不会说自己是黑帽子。大家只是最后的利用方式不一样。”
曾负责管理某公司邮箱系统的一位管理员在被报告漏洞后进行了系统修复，并向白帽子表示感谢。但他不太愿意和黑客们过多接触，不论黑帽子还是白帽子。他害怕自己的隐私会无所遁形。
“毕竟是富有攻击色彩的行业，（黑客）会让人不信任。”奇虎360公司的一位安全专家说。
发展初期的乌云，在企业眼中简直就是个黑客集中营，这样的不信任感如同坚冰。在企业眼里，提着自己的漏洞找上门来的，往往不是恶意竞争的同行，就是勒索要钱的黑客。一家大型国企曾要求乌云将自己的漏洞信息删除，遭拒后，封掉了乌云的流量，后经反复协调才重新开通。
事实上，白帽子和黑帽子的边界本来就是模糊的。据多名圈内人士印证，许多数据库的漏洞被放出来前，价值就已几乎被榨干。一些黑帽子先把黑钱挣了，再改头换面进入企业、白帽子团队或是加入乌云平台，都是“洗白”的路径。
大多互联网公司用人的一条原则是，决不录用有黑帽子经历的人。“曾经就有案例，一个知名社交网站录用了一个前‘黑帽子’，结果他在一个月内把系统摸清楚，最后把公司的数据库全拖了。”上述奇虎360公司的安全专家对南方周末记者说。
做过黑帽子的人几乎不可能再成为白帽子，除非你可以成功隐瞒你的过往——换个马甲，在网络世界里一切就可以重新来过。
“我们只能看他在乌云平台上做了什么，对于过往经历，我们没有能力，也没有义务去全部弄清。”方小顿的想法并不复杂，“让好人可以做好人，让坏人也想来做好人。”
他蓄着长发与短胡须，看上去更像一个艺术家。他的设想是，让白帽子们过上干净且自由的WOOHO（Wooyun Home Office）生活——不论你在哪，只要打开电脑，依靠自己的技术力量寻找漏洞、提交漏洞，就可以此为生，自在逍遥。
看上去很诱人。但事情的复杂性在于，整个网络世界都是灰色的，如果有区别，也只是灰度的不同。方小顿和他的伙伴们承认，在“帽子”们的江湖里，这一点也不例外。