第1关 破雾：什么是网络安全攻防？ / Level 1: Breaking the Fog: What is Cybersecurity Offense and Defense?

是不是一提“黑客”，你眼前立刻蹦出电影里的画面：戴黑色兜帽的人缩在昏暗房间里，手指在键盘上敲出残影，屏幕上的绿色代码瀑布一样往下滚，三分钟就攻破了某银行的系统，卷走上亿现金？先把你脑补的滤镜擦一擦——现实里的黑客根本没这么玄乎，而且大部分你印象里的“黑客”，其实都是违法的黑帽，真正的白帽黑客可能就坐在你旁边的教室里，平时跟你一起打游戏、刷题，业余时间帮游戏公司找漏洞，拿的奖金比你一年的压岁钱还多。

1.1 擦掉滤镜：真实的黑客世界

1.1.1 三类黑客：不是所有“黑客”都是坏人

其实“黑客（Hacker）”这个词最早根本不是贬义，它 originally 指的是一群热爱计算机技术、喜欢探索系统边界、想搞清楚“这个东西是怎么跑起来”的技术爱好者，就像你喜欢拆玩具看里面的齿轮一样，黑客喜欢拆系统看里面的代码逻辑。后来随着一部分人把技术用在非法牟利上，“黑客”才慢慢变成了大家印象里搞破坏的代名词。 现在网安圈普遍把具备技术能力的人分成三类，用帽子颜色区分，特别形象：

• **白帽黑客（White Hat Hacker）**：就是合法的安全研究员，相当于网络世界的“警察”。他们受企业、政府、学校的委托，用技术手段找系统里的漏洞，帮对方提前修复，防止被坏人利用。比如你常玩的游戏有外挂，就是白帽没找到漏洞，被黑帽钻了空子；要是白帽提前找到了这个漏洞，上报给游戏公司，修掉之后就不会有外挂了，所有玩家都能公平游戏。
• **黑帽黑客（Black Hat Hacker）**：就是大家印象里搞破坏的“网络小偷”，他们以非法获利、恶意破坏为目的，利用系统漏洞入侵、盗号、卖外挂、传播病毒、搞诈骗，是实实在在的违法犯罪分子。比如你游戏账号突然被盗，装备全被转走，大概率就是黑帽干的；你手机突然中了病毒，通讯录全被泄露，也是黑帽的杰作。
• **灰帽黑客（Gray Hat Hacker）**：就是游走在黑白之间的“技术炫技党”，他们的行为既不算完全合法，也不算完全违法，但往往也会造成麻烦。比如有人发现学校的教务系统有漏洞，能改成绩，他不告诉老师，反而在同学群里炫耀“我能改分，谁要改给我100块”，这就是典型的灰帽行为；还有人发现大厂的漏洞，不通过正规渠道上报，反而发到网上炫技，甚至要挟厂商“不给钱我就公开漏洞让坏人利用”，这种行为其实已经触犯法律了。

```mermaid graph LR A[Hacker 黑客] --> B[White Hat 白帽<br>合法安全研究员<br>上报漏洞/做防护] A --> C[Gray Hat 灰帽<br>发现漏洞不告知<br>炫技/要挟获利] A --> D[Black Hat 黑帽<br>非法入侵/盗号/卖外挂<br>违法犯罪] ```

1.1.2 白帽黑客：用技术守护安全的“网络警察”

很多人觉得白帽就是“合法黑客”，其实没那么简单，白帽的技术能力往往比黑帽还强——因为黑帽只要找到一个漏洞就能牟利，白帽要找遍系统的所有角落，把所有能钻的空子都堵上，难度比黑帽高多了。 而且白帽的收益一点都不低：现在几乎所有大厂都有官方的漏洞响应计划，你上报一个漏洞，只要核实是真的，就能拿奖金：中危漏洞一般几千块，高危漏洞几万到几十万不等，要是能发现“核弹级”漏洞（比如能影响所有用户的系统底层的漏洞），奖金甚至能到上百万。除了奖金，很多白帽还会被大厂挖去做安全工程师，现在网安人才缺口特别大，刚入行的网安工程师月薪基本都能到8k以上，工作三五年的资深工程师年薪几十万到上百万的大有人在。 更重要的是，白帽的工作是真的能帮到普通人：你上报的游戏漏洞修了，就不会有外挂破坏你的游戏体验；你上报的学校网站漏洞修了，就不会有人的成绩被恶意修改；你上报的政务系统漏洞修了，就不会有人的身份证信息被泄露。用技术帮大家解决问题，比做什么都酷。

1.1.3 黑帽黑客：搞破坏的“网络小偷”

黑帽的技术门槛其实比白帽低多了：很多黑帽根本不会挖0day漏洞（就是全世界都没人发现的全新漏洞），他们只会用别人挖好的漏洞做工具，比如现成的盗号木马、外挂程序，买来直接用，就能非法牟利。 但黑帽的结局基本都很惨：现在网安部门的监测能力特别强，只要你做了非法入侵的事，很快就能顺着网线找到你。比如之前有个黑帽做游戏外挂，一年赚了200多万，最后被抓，判了10年有期徒刑，罚了200万，不仅钱全没了，一辈子还留下了案底，考大学、找工作、当兵都受影响，亏到姥姥家了。 而且黑帽害的人往往都是普通人：你辛辛苦苦攒了半年的游戏装备被盗，可能是黑帽干的；你父母的养老钱被诈骗分子骗走，背后也有黑帽的技术支持；甚至你手机里的私密照片被泄露，也是黑帽的杰作。不要觉得“我又不偷大款，偷点普通人的东西没事”，只要是非法获利，不管偷谁的，都是违法。

1.1.4 灰帽黑客：游走在灰色地带的“技术炫技党”

灰帽是最让厂商头疼的一类人：他们技术不错，能发现漏洞，但就是不通过正规渠道上报，要么发到网上炫技，让坏人也能利用这个漏洞搞破坏；要么要挟厂商“不给钱我就公开漏洞”，跟敲诈勒索没区别。 比如2020年有个灰帽黑客发现苹果的iOS系统有个漏洞，能绕过密码解锁任意苹果设备，他不告诉苹果，反而在暗网要挟苹果给100万美元才肯公开，最后苹果报了警，这个灰帽被抓，判了3年有期徒刑。还有之前有学生发现学校官网的漏洞，能查全校学生的成绩和身份证号，他不告诉老师，反而在同学群里说“我能改成绩，100块改一科”，最后被学校开除，还留下了违法记录。 灰帽的行为看起来好像“没偷没抢”，但其实本质还是损人利己：你炫技发的漏洞，被坏人利用，可能会造成几百万甚至几千万的损失；你要挟厂商，本质就是敲诈，肯定违法。技术是用来解决问题的，不是用来炫技或者要挟别人的。

1.2 法律红线：这些事碰都不能碰

很多青少年刚接触网安技术的时候，都会有个误区：“我就是试试手，又没偷东西，应该不违法吧？”大错特错！我国对网络违法犯罪的定义特别明确，只要你未经授权碰了不属于你的系统、账号、设备，哪怕你只是“看看”，没偷没抢，也已经违法了。

1.2.1 真实案例：青少年的网安违法教训

别觉得网安违法是“大人的事”，现在很多青少年因为好奇、炫技、想赚快钱，触碰法律红线，最后毁了自己的前途，下面两个案例都是真实发生过的，你一定要引以为戒： > 📌 【案例1：改成绩的初中生】2021年9月，浙江某初中生陈某，沉迷网络游戏，听说能通过技术手段修改教务系统的成绩，于是自行搜索教程，入侵了学校教务系统，把自己的数学成绩从62分改成了98分。学校发现成绩异常后报警，网安部门很快锁定陈某。最终陈某因不满16周岁，未被行政拘留，但被责令具结悔过，学校给予记过处分，并全校通报批评。更重要的是，陈某的档案里留下了违法记录，未来他如果要考公、参军、进国企，都会直接被刷掉，一辈子的前途都受了影响。 > 📌 【案例2：卖数据的的高中生】2022年3月，广东某高中生林某，在社交平台看到有人收“游戏账号数据”，说一条信息卖5毛钱，他觉得“这个钱好赚”，于是自学爬虫技术，编写脚本爬取了某热门手游的10万余条用户账号信息，卖给诈骗分子，获利8000余元。最终林某因犯“侵犯公民个人信息罪”，被判处有期徒刑一年，缓刑一年六个月，并处罚金人民币一万元，同时被所在高中开除学籍，大学也没考上。

这两个案例里的孩子，本来都有大好前途，一个是初中生，一个是高中生，都是因为对法律没有敬畏心，碰了不属于自己的系统，最后毁了一切。千万不要觉得“我未成年，就算被抓也没事”，现在法律对未成年人的网安违法行为也有明确的处罚规定，哪怕不判刑，也会留下违法记录，影响你一辈子。

1.2.2 合法边界：哪些行为是被允许的？

肯定有同学要问：“那是不是我学了网安技术，什么都干不了？”当然不是！网安技术是特别有用的技能，只要你在合法的范围内用，不仅能帮到自己，还能帮到别人，甚至能赚到钱。以下是明确合法的网安行为，你可以放心做： 1. 参加正规的网安竞赛：比如CTF（Capture The Flag，夺旗赛）、全国青少年信息学奥赛的网安赛道、各省市的青少年网安竞赛，这些都是官方组织的正规比赛，你可以尽情发挥你的技术，拿奖金、拿证书，还能保送升学。 2. 参加官方的漏洞响应计划：几乎所有大厂都有官方的漏洞上报渠道，比如腾讯的补天平台、阿里先知、百度安全应急响应中心，你只要在授权的范围内测试他们的产品，发现漏洞上报，不仅能拿奖金，还能拿到官方的荣誉证书，要是技术够好，还能被大厂提前录用。 3. 在合法的靶场环境练习：网上有很多专门给安全爱好者练手的靶场，比如DVWA（Damn Vulnerable Web Application）、SQLi-Labs、CTFshow，这些都是专门做了很多漏洞的测试环境，你在里面随便练，怎么攻击都不违法，是入门网安最好的练习方式。 4. 参加学校的网安社团或者正规培训：很多中学和大学都有网安社团，会有老师带着大家学技术、打比赛，比你自己瞎摸索安全多了。

> ⚠️ 【法律红线提醒】根据《中华人民共和国网络安全法》《中华人民共和国刑法》规定，未经授权访问、控制他人的计算机信息系统，或者窃取他人账号信息、传播病毒、破坏系统，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年

情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。也就是说，哪怕你只是未经授权扫了一下别人的网站，没偷没抢，没改任何数据，只要对方追究，你就可能留下违法记录，严重的要坐好几年牢。

1.2 法律红线：这些事碰都不能碰

1.2.1 违法成本：你以为的“小事”可能是毁掉前途的“大事”

很多青少年刚接触网安技术的时候，都会抱着“我就试试手，又没偷东西，应该不违法吧”的侥幸心理，但现实是：我国法律对网络违法行为的界定非常清晰，只要你的操作未经系统所有者授权，哪怕没有造成实际损失，也已经触犯法律。 <标签: 法律> 根据2023年国家网信办发布的《全国未成年人网络保护工作报告》，2022年网安部门处理的未成年人网安违法案件中，62%是因为好奇、炫技触碰法律红线，35%是因为想赚快钱参与灰产，仅3%是被诱导参与违法活动。换句话说，绝大多数青少年的网安违法行为，都是因为不懂法、没有敬畏心导致的，完全可以避免。 我们来看几个真实发生过的青少年违法案例，每一个都血淋淋： > 📌 【案例1：改网页的初中生 / Case 1: The Middle School Student Who Modified a Webpage】2020年江苏某初中生张某，刚学会用简单的网页修改工具，好奇学校的官网能不能改，于是没经过学校网管同意，就用工具扫了学校官网的漏洞，把首页的公告栏改成了“张某是猪”，没偷任何数据，也没破坏系统。学校发现后立刻报警，网安部门当天就锁定了张某，最终张某因不满14周岁，未被行政拘留，但被责令具结悔过，学校给予记过处分，档案里留下了违法记录，未来考公、参军、进国企都会被直接刷掉，一辈子的前途都受了影响。 > 📌 【案例2：爬数据的高中生 / Case 2: The High School Student Who Scraped User Data】2022年广东某高中生林某，在社交平台看到有人收“游戏账号数据”，说一条信息卖5毛钱，他觉得“这个钱好赚”，于是自学爬虫技术，编写脚本爬取了某热门手游的10万余条用户账号信息（包括账号、密码、手机号），卖给诈骗分子，获利8000余元。最终林某因犯“侵犯公民个人信息罪”（Violation of Citizens' Personal Information Crime），被判处有期徒刑一年，缓刑一年六个月，并处罚金人民币一万元，同时被所在高中开除学籍，大学也没考上。 > 📌 【案例3：卖抢课服务的大学生 / Case 3: The College Student Who Sold Course Snatching Services】2021年浙江某大学生王某，发现学校选课系统的漏洞，可以提前锁定热门课程的名额，他不把漏洞上报给学校，反而在闲鱼、同学群里卖抢课服务，一节课收50-100元，一个学期赚了2万多。学校发现后报警，最终王某因犯“非法侵入计算机信息系统罪”（Illegal Intrusion into Computer Information Systems Crime），被判处拘役6个月，缓刑1年，学校给予开除学籍处分，学位证被收回，大学四年白读。

<标签: 避坑> 很多同学会觉得“我又没偷大钱，就赚了几百块，应该没事吧”？错！根据《刑法》规定，只要涉及非法侵入系统、窃取公民个人信息、破坏系统，哪怕获利只有几块钱，只要达到立案标准，就会留下犯罪记录，影响一辈子。未成年人的违法记录会封存，但升学、参军、考公的政审环节依然会被查到，直接失去资格。

1.2.2 合法边界：网安技术不是洪水猛兽，用对地方就是超能力

肯定有同学要问：“那我学了网安技术，是不是什么都干不了？”当然不是！网安技术是国家重点发展的核心技术，只要你在合法的范围内使用，不仅能帮到自己，还能帮到别人，甚至能赚到钱，甚至能帮你升学、找工作。 <标签: 法律> 以下行为是完全合法的，你可以放心做： 1. 参加官方组织的正规网安竞赛：比如CTF（Capture The Flag，夺旗赛）、全国青少年信息学奥赛网安赛道、各省市青少年网络安全竞赛、全国青少年网络安全竞赛，这些都是官方认可的正规比赛，拿奖不仅能拿奖金、拿证书，还能作为科技特长生的升学依据，部分竞赛获奖还能保送重点高中、大学。 2. 参加厂商官方授权的漏洞响应计划：目前国内几乎所有大厂都有官方的漏洞上报渠道，比如腾讯的补天平台、阿里先知、百度安全应急响应中心、字节跳动安全中心，你只要注册账号、同意厂商的测试规则，在授权的范围内测试厂商的产品，发现漏洞上报，不仅能拿到几千到几十万不等的奖金，还能拿到官方的荣誉证书，技术够好的话还能被大厂提前录用。 3. 在合法的公开靶场练习：目前网上有大量专门给安全爱好者练手的合法靶场，比如DVWA（Damn Vulnerable Web Application，故意做得很烂的漏洞网站）、SQLi-Labs（专门练SQL注入漏洞的靶场）、CTFshow（专门给CTF选手练题的靶场），这些都是专门设置了大量漏洞的测试环境，你在里面随便练，怎么攻击都不违法，是入门网安最好的练习方式。 4. 参加学校/官方组织的网安社团、培训：目前全国已经有超过3000所中学开设了网安社团，很多大学还有专门的网安学院，会有专业老师带着大家学技术、打比赛，比你自己瞎摸索安全多了。

> ⚠️ 【法律红线提醒 / Legal Red Line Reminder】 根据《中华人民共和国网络安全法》《中华人民共和国刑法》规定，以下行为属于明确的违法行为，哪怕你是未成年人，也会受到处罚： > 1. 未经授权扫描、入侵、测试他人的网站、系统、设备 > 2. 编写、传播盗号木马、病毒、外挂、勒索软件 > 3. 窃取、出售、传播他人的账号信息、身份证信息、隐私数据 > 4. 参与“刷钻”“改成绩”“解封账号”“卖抢课服务”等灰产活动 > 情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

1.2.3 合法测试的边界：不是“我没偷东西”就没事

很多同学会问：“那如果我经过厂商同意测试他们的产品，是不是就可以随便搞？”也不是，合法的渗透测试（Penetration Testing，即受委托的模拟黑客攻击测试）有非常明确的边界： 1. 必须有书面的授权文件：口头同意不算，必须要有厂商或者系统所有者出具的书面授权，明确告诉你测试的范围、时间、允许的操作，比如允许你测试官网，不允许你测试内部系统，允许你用工具扫描，不允许你删数据。 2. 不能造成实际损害：测试过程中不能删除、修改、破坏系统的任何数据，不能影响系统的正常运行，比如你不能为了演示漏洞就把网站弄崩，哪怕你后面能修好，也是违法的。 3. 发现问题必须及时上报：测试过程中发现的漏洞，必须第一时间上报给授权方，不能私藏，更不能用来非法牟利，比如你发现某网站的漏洞能盗号，你不能自己拿去盗号，也不能卖给坏人，必须上报给网站管理员。

<标签: 案例> 比如2022年有个初二的学生，在补天平台上注册了账号，经过腾讯的授权测试微信的某个小程序，发现了一个可以绕过好友验证的漏洞，上报之后拿到了5万元的奖金，还拿到了腾讯的青少年网络安全夏令营的邀请函，后来还作为科技特长生被重点高中录取，这就是典型的合法利用网安技术获益的例子。

1.3 核心术语扫盲：网安圈的黑话快速入门

刚接触网安的时候，你可能会听到一堆莫名其妙的术语：什么0day、社工、肉鸡、SQL注入，完全听不懂，就像刚进游戏没人给你讲规则一样。这一节我们就给你梳理最常用的核心术语，全部中英对照，看完你就能听懂网安圈的人说话了。

| 中文术语 | 英文术语 | 通俗解释 | 例子 | | --- | --- | --- | --- | | 黑客 | Hacker | 最初指热爱探索计算机系统边界的爱好者，现在分为白帽、黑帽、灰帽三类 | 你拆玩具看齿轮，黑客拆系统看代码逻辑 | | 白帽黑客 | White Hat Hacker | 合法的安全研究员，受委托测试系统漏洞，帮助提升安全性 | 游戏公司请白帽来测试游戏有没有外挂漏洞 | | 黑帽黑客 | Black Hat Hacker | 以非法获利为目的，利用漏洞入侵、破坏系统的违法犯罪分子 | 做游戏外挂、盗号、卖用户信息的坏人 | | 灰帽黑客 | Gray Hat Hacker | 发现漏洞后不上报，通过炫技、要挟等方式获利的群体 | 发现学校教务系统漏洞，在群里卖改成绩服务 | | 漏洞 | Vulnerability | 系统、软件、网络中存在的可以被攻击者利用的安全缺陷，相当于“没锁的门” | 你家门锁坏了，钥匙一捅就开，这个锁的缺陷就是漏洞 | | 渗透测试 | Penetration Testing | 受授权的情况下，模拟黑客攻击手段测试系统安全性的合法行为 | 你请开锁师傅来试试你家门能不能撬开，提前修锁，就是渗透测试 | | 漏洞挖掘 | Vulnerability Mining | 通过技术手段寻找系统、软件中未公开的漏洞的过程 | 开锁师傅研究各种锁的缺陷，告诉大家怎么修，就是漏洞挖掘 | | 0day漏洞 | 0day Vulnerability | 已被发现但厂商还未发布补丁的全新漏洞，价值极高 | 小偷发现你家新锁的缺陷，还没告诉锁厂，这就是0day漏洞 | | 1day漏洞 | 1day Vulnerability | 厂商已经发布补丁，但还有很多用户没打补丁的漏洞 | 锁厂已经发布了新锁的修补方案，还有很多人家没换锁，就是1day漏洞 | | CTF | Capture The Flag | 夺旗赛，网络安全竞赛的一