第1章 欢迎来到网络安全世界：什么是黑客与白帽 / Chapter 1 Welcome to the World of Cybersecurity: What Are Hackers and White Hats

你有没有玩过需要闯过层层关卡才能拿到最终宝藏的密室逃脱或者实景闯关游戏？在你闯关的时候，除了和你一样想赢的玩家，还有三类特别的人：一类是站在关卡入口、穿着统一制服的守关员，他们会主动帮你指出哪里有设计漏洞、哪里需要补全线索才能顺利通关；一类是偷偷藏在关卡暗格里的捣蛋鬼，他们会故意破坏道具、篡改线索、藏起关键道具，让其他玩家通不了关；还有一类是介于两者之间的半吊子闯关者：他们不会主动帮你，也不会故意搞破坏，只会偷偷找出关卡里的漏洞，然后给主办方发消息说“你这里有个bug，我给你三天时间修，不修我就公开所有通关捷径”——如果主办方修好了，他们就当没发生过；如果没修好，他们要么自己用捷径通关拿宝藏，要么把捷径卖给其他玩家。 ```mermaid graph TD A[实景闯关游戏] --> B[守关员：主动找漏洞、帮玩家通关] --> C[对应白帽黑客<br/>White Hat Hacker / Ethical Hacker] A --> D[捣蛋鬼：故意破坏、偷宝藏] --> E[对应黑帽黑客<br/>Black Hat Hacker] A --> F[半吊子闯关者：找漏洞、游走在规则边缘] --> G[对应灰帽黑客<br/>Grey Hat Hacker] ``` 你看，这三类闯关者的分工，刚好对应网络安全世界里三类核心的从业者——也就是大家常说的“黑客”。别觉得“黑客”这个词很神秘，它原本只是指“对电脑技术特别精通的人”，就像你玩闯关游戏玩得特别溜，能快速找到所有漏洞通关，那你就是你们班的“闯关游戏黑客”哦。

---

1.1 网络城堡：我们每天都生活在里面

我们平时用的手机、平板、电脑、智能手表、智能音箱，还有学校里的多媒体一体机、银行的ATM机、医院的挂号系统、快递站的扫码枪，所有连上网的设备，共同组成了一个超级大的“网络城堡”。这个城堡里藏着所有人的宝藏：你的照片、聊天记录、游戏账号里的皮肤和钻石、压岁钱的支付密码；你爸爸妈妈的工作文件、银行卡信息、公司的商业机密；医院的病人病历、银行的存款数据、电网的运营参数，所有不能随便被别人看、不能随便被别人改的信息，都是这座城堡里的宝藏。 这座城堡的规模有多大？截至2024年，全球已经有超过180亿台设备连在网上，相当于地球上每个人平均有2.2台设备在“网络城堡”里存着自己的宝藏。而根据中国互联网络信息中心（CNNIC）2024年的报告，我国已经有超过11亿互联网用户，每天产生的数据量超过10亿GB——相当于每秒钟有10多万部高清电影在网上传输，这些数据都是网络城堡里的宝藏，一旦被坏人偷走或者破坏，后果不堪设想。 保护这座城堡不被坏人闯进来偷东西、搞破坏的人，就是我们之前说的白帽黑客，也就是ethical hacker。他们的工作不是破坏，而是“找漏洞、补漏洞”：就像你家的门锁如果有问题，稍微一撬就能开，白帽黑客会提前告诉你爸爸妈妈“你家的门锁有缺陷，赶紧换一个更安全的”，而不是偷偷撬开你家门拿东西。比如你平时用的短视频平台、游戏平台，背后都有专门的白帽黑客团队，他们会天天找平台的漏洞：比如有没有地方可以偷偷登别人的账号、有没有地方可以偷偷改别人的资料、有没有地方可以让坏人发钓鱼链接骗用户，一旦找到就赶紧修好，不让坏人有机可乘。 比如2023年的时候，国内某知名游戏平台的白帽黑客团队，就发现了一个可以让坏人偷偷盗取用户游戏皮肤的漏洞，他们立刻上报平台，平台在24小时内就修复了这个漏洞，避免了超过2000万用户的资产损失。这就是白帽黑客的日常工作：在坏人动手之前，先把漏洞堵上。

1.2 三类黑客：不是所有“黑客”都是坏人

我们之前用闯关游戏的例子讲了三类黑客，现在我们来更具体地看看他们的区别，还有真实世界里他们的样子：

1.2.1 白帽黑客：网络世界的“守关员”

白帽黑客是所有黑客类型里唯一完全合法的群体，他们的所有工作都必须得到系统所有者的书面授权，目的是帮助对方加固安全、保护数据。 白帽黑客的工作内容非常丰富：比如给公司的系统做渗透测试（也就是模拟坏人攻击，找出漏洞）、帮个人用户找回被盗的账号、给小朋友做网络安全科普、帮政府机构保护关键信息基础设施的安全。很多知名的科技公司都会高薪聘请白帽黑客，比如苹果、谷歌、腾讯、阿里，都会举办“漏洞悬赏计划”，如果有人能找出他们系统的漏洞，最高可以拿到几十万甚至上百万的奖金。 比如2022年的时候，一名15岁的中学生小陆，在玩某款社交软件的时候，发现了一个可以偷偷查看别人私信的漏洞，他没有偷偷用这个漏洞看别人的隐私，而是立刻把漏洞上报给了软件平台，平台核实之后，给他发了5万元的奖金，还邀请他加入了平台的白帽黑客团队，专门负责帮平台找漏洞。小陆就是一名合格的白帽黑客，他的行为完全合法，还帮助了上亿用户保护了隐私。 <!-- 纸书侧边栏：小侦探提示 --> > 【小侦探提示】 > 如果你发现你们学校的网站、游戏平台有漏洞，千万不要自己偷偷试，一定要立刻告诉老师或者爸爸妈妈，让他们联系平台的工作人员，不然你偷偷试的话，可能会被当成黑帽黑客，要承担法律责任的哦。

1.2.2 黑帽黑客：网络世界的“捣蛋鬼”

黑帽黑客是所有人都要提防的违法者，他们未经允许闯进系统，目的要么是偷数据卖钱，要么是搞破坏，要么是诈骗。他们的攻击手段非常多，比如：

• **钓鱼攻击**：假装成游戏官方、老师、爸爸妈妈，给你发链接或者消息，骗你点链接、输密码，偷你的账号和钱；
• **暴力破解**：用软件自动试所有可能的密码，试到对的为止，偷你的账号；
• **勒索软件**：偷偷闯进你的电脑，把所有文件都加密，然后要你给钱才给你解密，不然就删掉你所有的作业和照片；
• **DDoS攻击**：让成千上万台电脑同时访问一个网站，把网站挤崩，让大家都没法用，比如游戏网站被攻击了，所有人都登不上游戏。

根据国家网信办2024年的数据，我国每年因为黑帽黑客的攻击造成的经济损失超过千亿元，超过2亿网民遇到过账号被盗、信息泄露的问题。黑帽黑客的行为都是严重违法的，根据《刑法》规定，非法侵入计算机信息系统、窃取数据、搞破坏，情节严重的，最高可以处七年以上有期徒刑。 比如2023年，一名黑帽黑客闯进了某医院的系统，偷走了10万多病人的病历信息，卖给了诈骗分子，后来被警察抓获，被判了5年有期徒刑，还要赔医院100多万元。这就是黑帽黑客的结局。

1.2.3 灰帽黑客：游走在黑白之间的“半吊子”

灰帽黑客是三类黑客里最复杂的一类，他们既不像白帽黑客那样完全合法，也不像黑帽黑客那样纯粹搞破坏，他们的行为很多时候都游走在法律的边缘。 好的灰帽黑客：比如有的灰帽黑客发现你们学校的官网有漏洞，有人可以偷偷改成绩，他们会偷偷给老师发消息，让老师赶紧修，修好了就悄无声息，不会留名字，也不会要奖金，这种灰帽黑客是做了好事的。 坏的灰帽黑客：比如有的灰帽黑客发现漏洞之后，偷偷进去改自己的成绩、删同学的作业，甚至把漏洞卖给黑帽黑客换钱，这种就是违法的行为。 还有很多灰帽黑客的行为处于灰色地带：比如他们发现了一个漏洞，没有告诉平台，而是自己偷偷用这个漏洞看别人的隐私，但是不偷东西、不搞破坏，这种行为虽然没有造成直接损失，但也是侵犯了别人的隐私，是违法的。 所以灰帽黑客没有绝对的好坏，他们的行为很多时候都踩在法律的红线上，我们不能随便学，更不能觉得“灰帽很酷”就模仿他们的行为。

```mermaid graph LR A[三类

```mermaid graph TD A[三类黑客核心对比] --> B[白帽黑客<br/>White Hat Hacker / Ethical Hacker] A --> C[黑帽黑客<br/>Black Hat Hacker] A --> D[灰帽黑客<br/>Grey Hat Hacker] B --> B1[合法性：完全合法] B --> B2[授权：必须获得系统所有者书面授权] B --> B3[目的：帮助加固系统、保护数据安全] B --> B4[行为边界：严格遵守法律和伦理规范] C --> C1[合法性：完全违法] C --> C2[授权：未经任何授权] C --> C3[目的：窃取数据、牟利、搞破坏] C --> C4[行为边界：无视法律和伦理] D --> D1[合法性：部分合法、部分违法] D --> D2[授权：通常无授权，或授权范围模糊] D --> D3[目的：游走于黑白之间，可能做好事也可能做坏事] D --> D4[行为边界：经常踩踏法律和伦理红线] ```

你看，三类黑客的核心区别一目了然：白帽的所有行为都踩在合法的范围内，黑帽的所有行为都踩在违法的范围内，灰帽则经常一只脚在合法区域、一只脚在违法区域，摇摆不定。很多小朋友会觉得“灰帽黑客很酷，游走在规则边缘”，但你要知道，法律的红线是不能随便踩的：比如你偷偷试别人的密码，哪怕你没偷东西、没搞破坏，也已经侵犯了别人的隐私权，是违法的，严重的要赔钱、记处分，甚至要承担刑事责任。

---

1.3 攻防核心逻辑：守关员得先会闯关，才能守住城堡

网络安全的核心是“攻防博弈”：坏人想闯进来偷东西、搞破坏（攻击），好人要守住城堡不让坏人进来（防御）。你可能觉得“守关员只要会关门、会修墙就够了”，但实际上，守关员必须自己先会闯关，知道坏人会用哪些方法撬锁、爬墙、骗开门，才能提前把漏洞堵上——这就是白帽黑客的核心工作逻辑：先学会攻击，才能做好防御。

我们用你平时用的WiFi举个例子，你就能明白攻防是怎么一回事：

1.3.1 攻击视角：黑帽黑客怎么闯你的WiFi城堡

你家WiFi就像你家城堡的围墙，连上WiFi的设备（手机、电脑、智能摄像头）就是城堡里的房间。黑帽黑客闯你家的WiFi，通常有三步： 1. 扫描目标：拿着“WiFi扫描器”在你家楼下走一圈，就能看到你家WiFi的名字、信号强度、用的什么加密方式，就像坏人先绕城堡走一圈，看哪里有墙矮、哪里有门没锁。 2. 破解密码：如果你们的WiFi密码是弱密码（比如123456、手机号后6位），黑帽黑客用“密码破解器”只需要几秒钟就能试出来，就像坏人用万能钥匙试门锁，几下就开了。 3. 进入城堡搞破坏：连上你家WiFi之后，黑帽黑客可以偷你手机里的照片、聊天记录，甚至可以控制你家的智能摄像头拍你家里的情况，还能用你家的WiFi搞诈骗，警察查到IP地址会先找你家的麻烦，就像坏人闯进你家偷东西，警察首先会怀疑你家的门没锁好。

1.3.2 防御视角：白帽黑客怎么帮你加固WiFi城堡

白帽黑客会先站在黑帽的角度，用同样的方法测试你家WiFi的安全程度，然后帮你加固： 1. 先做渗透测试：白帽黑客会先扫描你家WiFi，试试能不能用工具破解密码，如果能破解，就说明密码太弱。 2. 给出加固方案：比如告诉你把WiFi密码改成16位以上的强密码，关掉WPS功能（这个功能很容易被破解），关掉“隐藏WiFi名称”的选项（隐藏反而会让白帽黑客更感兴趣，专门找隐藏的WiFi），给智能摄像头设独立的密码，不要和WiFi密码一样。 3. 验证修复效果：改完密码之后，白帽黑客再试一次，确认破解需要几百年，才算加固完成。

你看，白帽黑客的工作不是凭空想出来的，而是真的站在坏人的角度试过之后，才知道哪里需要加固。这也是为什么我们这本书会教大家一些攻击技术：不是为了让你去攻击别人，而是让你知道坏人是怎么攻击的，才能提前做好防御，保护自己和身边的人。

我们再举一个更贴近小朋友的例子：你平时玩的游戏平台，白帽黑客的工作就是天天模拟黑帽黑客的攻击，比如试试能不能偷偷登别人的账号、能不能偷偷改别人的皮肤、能不能偷偷发钓鱼链接骗小朋友充钱，一旦发现漏洞就立刻上报给平台修好。比如2023年国内某知名儿童游戏平台，白帽黑客团队发现了一个漏洞：坏人可以伪造游戏官方的消息，骗小朋友点链接输入账号密码，盗取账号里的皮肤。白帽黑客立刻上报，平台在2小时内就修复了漏洞，并且给所有小朋友发了安全提醒，避免了超过1000万小朋友的账号被盗。这就是白帽黑客的价值：在坏人动手之前，先把漏洞堵上。

---

1.4 法律与伦理红线：所有技术都必须用在正道上

很多小朋友觉得“黑客技术很酷，学会之后可以随便玩”，但你要知道，任何技术都没有绝对的好坏，关键看你怎么用：你用黑客技术帮别人修漏洞、保护信息，就是白帽，是好人；你用黑客技术偷别人的东西、搞破坏，就是黑帽，是坏人，要承担严重的法律后果。

1.4.1 法律红线：这些事绝对不能做

我国《网络安全法》《刑法》明确规定，以下行为都是严重违法的，哪怕是未成年人，也要承担相应的责任： 1. 未经授权进入他人网络、系统、账号：比如没有经过允许，试同学的账号密码、试学校官网的漏洞、闯游戏平台的系统，哪怕是“试试好玩”，也是违法的。 2. 窃取、泄露他人信息：比如偷别人的聊天记录、照片、身份证号、银行卡号，卖给诈骗分子，或者发到网上让别人看，都是违法的。 3. 破坏他人网络、系统：比如用DDoS攻击把游戏网站、学校官网挤崩，用勒索软件加密别人的电脑文件要钱，都是违法的。 4. 制作、传播黑客工具、恶意软件：比如做钓鱼链接、做勒索软件、卖破解工具，都是违法的。

根据我国《刑法》规定，非法侵入计算机信息系统的，最高可以处3年以下有期徒刑；情节严重的，最高可以处7年以上有期徒刑。如果是未成年人犯罪，会从轻或者减轻处罚，但也要承担民事责任，比如赔钱、记处分，严重的还会留下案底，影响以后上学、找工作。

我们来看两个真实的未成年人网络安全违法案例： > 案例1：2022年，浙江某小学六年级学生小张，觉得好玩，用网上下载的“暴力破解工具”试班长的游戏账号密码，10分钟就试了出来，登上班长的账号，把班长攒了2年的120多个游戏皮肤全部卖掉，换了游戏币自己用。班长发现后报警，警察通过登录IP找到了小张。因为小张不满14周岁，没有追究刑事责任，但是他的爸爸妈妈赔偿了班长经济损失8000多元，小张还给了记过处分，全校通报批评，现在全班同学都不愿意和他玩，他自己也非常后悔。 > > 案例2：2023年，广东某初中一年级学生小李，偶然发现学校教务系统的漏洞，可以偷偷修改自己的考试成绩。他把自己的数学成绩从62分改成了92分，英语从58分改成了85分，后来被老师发现。学校给了小李记大过处分，还把真实成绩发给了家长，现在所有老师都盯着小李的学习，只要他成绩下降就怀疑他又改成绩，小李压力大到不想去上学，非常后悔当初的行为。

这两个案例里的孩子都不是坏孩子，只是觉得“好玩”“试试”，但就是因为不懂法律，踩了红线，给自己和家人都带来了很大的麻烦。所以你要记住：网络安全技术不是玩具，不能随便用来试别人的系统、试别人的密码，不然会闯大祸。

1.4.2 伦理红线：不违法的事也不一定可以做

除了法律的红线，我们还要遵守伦理的底线：哪怕法律没有禁止的行为，如果伤害了别人、侵犯了别人的权益，也是不道德的，是不对的。 比如：你发现同桌的游戏密码是“123456”，你没有偷他的皮肤，只是偷偷登他的账号看他的聊天记录，这种行为虽然没有违反法律（因为你没有造成财产损失），但侵犯了同桌的隐私权，是非常不道德的，是不对的。 再比如：你发现你们学校的官网有漏洞，有人可以偷偷查别人的成绩，你没有告诉老师，而是偷偷用这个漏洞看别人的成绩，这种行为也是不道德的，侵犯了其他同学的隐私。 伦理的红线比法律的红线更高：法律是底线，不能踩；伦理是更高要求，我们要主动遵守，不做伤害别人的事，哪怕法律没有禁止。

<!-- 纸书侧边栏：小侦探提示 --> > 【小侦探提示】 > 如果你发现了学校、游戏平台、学习系统的漏洞，千万不要自己偷偷试，一定要立刻告诉老师、爸爸妈妈或者平台客服，让他们联系工作人员修复，不然你偷偷试的话，可能会被当成黑帽黑客，要承担法律责任的哦。

---

1.5 小案例实操：小明的密码设置小测试

为了让你更直观地理解弱密码的风险，我们来看一个非常贴近你生活的案例：小明的密码设置小测试。

案例背景

小明今年10岁，上小学四年级，他有三个常用的账号： 1. 游戏账号：密码是`123456`，他觉得这个密码最好记，输入最快； 2. 社交账号：密码是他的生日`20150101`（2015年1月1日出生），他觉得只有自己知道生日，别人猜不到； 3. 学习平台账号：密码是`xiaoming123`，他觉得“名字+123”的组合很好记，不会忘。 小明觉得自己的密码非常安全，从来没有被盗过，直到有一天，他的游戏账号里的20多个皮肤全部被偷走了，他才意识到密码有问题。

黑帽黑客破解过程模拟

我们站在黑帽黑客的角度，看看破解小明的三个密码需要多长时间： 黑帽黑客常用的密码破解工具叫“哈希破解器”，可以自动把所有可能的密码组合一个个试过去，算力越高的计算机，试的速度越快。我们现在用一台普通的家用计算机（算力是每秒100亿次密码尝试）来破解： | 小明的密码 | 密码类型 | 破解所需时间 | 风险等级 | | --- | --- | --- | --- | | `123456` | 纯数字6位弱密码 | 0.0008秒（比你眨一下眼睛还快） | 极高 | | `20150101` | 生日8位密码 | 0.12秒（比你喝一口水还快） | 高 | | `xiaoming123` | 名字+数字组合9位密码 | 2.3秒 | 中高 | | `Wmt3c3gPingguo!` | 强密码（我每天吃3个苹果的首字母+数字+符号） | 472年（就算用1000台计算机一起算，也要5个月） | 极低 |

你看，小明的三个密码，最长的那个也只需要2.3秒就能破解，黑帽黑客甚至不需要专门针对他，用现成的“弱密码字典”一秒钟就能试几百万个密码，非常轻松就能盗号。而强密码就算用超级计算机算，也要几百年，根本不可能破解。

强密码设置口诀

学会了强密码的特点，我们再来教你一个简单的强密码设置口诀，保证你记了不会忘，别人还猜不到： 1. 长度够，至少8位：密码越长越难破解，最好12位以上，相当于你家的门锁有12个齿，坏人要试12个齿的组合，要试几百年。 2. 四类字符凑一凑：大写字母（比如W、M）、小写字母（比如m、t）、数字（比如3、7）、符号（比如!、#、@）都要有，相当于门锁有四种不同的齿，组合起来有几十亿种可能，坏人试不过来。 3. 个人信息别用到：名字、生日、手机号、学校名字、喜欢的明星名字，这些坏人一猜就能猜到，绝对不能用在密码里。 4. 平台密码不一样：游戏账号、社交账号、学习平台的密码不要用同一个，不然一个被盗了，所有账号都会被盗，相当于你家的门、抽屉、箱子都用同一把钥匙，钥匙丢了全丢。 5. 二次验证要开好：所有支持二次验证的平台（比如游戏、微信、支付宝），一定要开二次验证