声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，李白你好及文章作者不为此承担任何责任。

昨天在咱的群里看到了一篇文章，虽然是16年写的，但是觉得很有意思。今天分享给大家。挖洞需谨慎！！！

故事要从一位父亲写给第四届网络安全大会的信说起，这位父亲在信中提到自己的儿子向Wooyun提交了世纪佳缘的一个SQL注入漏洞，因为测试注入跑了4000条用户的信息，导致被儿子抓，这位父亲表示不能理解为啥自己的儿子会被查水表。

根据信件中白帽子的信息，找到具体的漏洞应该是下图中的：

作为一个Wooyun的白帽子，感觉这位白帽子同学挺悲催的。其实Wooyun上有很多白帽子小伙伴都比较年轻单纯，不知道社会的险恶，作为白帽子中的大龄屌丝，很有必要分享几点需要谨记的内容给小鲜肉白帽子：

1，所有未经授权的渗透测试都是违法的；

2，厂商有权力对攻击渗透入侵自家信息系统的行为进行追究；

3，Wooyun主站跟主站厂商之间没有合同约束，是Wooyun厂商并不能代表厂商就允许白帽子未授权对自家系统进行渗透入侵测试；

4，查不查白帽子的水表取决于厂商的态度及白帽子的节操，厂商的态度是重点；

5，给Wooyun上的厂商提交漏洞，最好点到为止，会不会被查水表同样取决于厂商的态度；

6，做一个有节操的白帽子，态度很重要，真正做到只是为了给厂商反馈漏洞；

7，厂商很痛恨白帽子恶意刷同一点漏洞，还有白帽子夸大漏洞标题的行为。

以上几点都是已知的内容以及个人的看法，再看前文中提到白帽子被查水表的事情，就不难理解白帽子为啥被抓了。

1，未授权渗透测试世纪佳缘的信息系统；

2，渗透测试没有点到为止，获取了4000名用户的信息；

3，夸大漏洞标题，对世纪佳缘造成一定的影响；

4，世纪佳缘曾经发生过被脱裤的事件。

对于有些厂商，白帽子童鞋做了以上的事情，厂商不一定会查白帽子的水表，之所以不查，其实只能说是白帽子运气太好，但是白帽子不能因为运气太好就忘记了前文中的7点实事。大部分厂商还是很希望跟白帽子之间建立良好的关系，毕竟很多白帽子是真心帮助厂商解决安全问题的。

有人认为白帽子被抓，跟Wooyun是有关系的，作为Wooyun白帽子中的一员，我是很难认同这个观点的。Wooyun是一个第三方的漏洞平台，并没有强制白帽子提交厂商的漏洞，白帽子可以自由选择向Wooyun或直接向厂商提交漏洞，Wooyun会通知厂商来认领漏洞，厂商也可以选择是否来免费认领漏洞。

就比如雷锋捡到了别人的信用卡，不知道怎么找失主，然后把信用卡交给了信任的机构，机构知道了失主的联系方式，通知失主来认领，失主发现自己的信用卡被"雷锋"给盗刷了，然后报案查雷锋的水表，这事还能怪机构吗？

个人主观浅见，或许其它人会有各种不同的意见，欢迎转发发表自己的个人观点，同样欢迎各种法律专业的童鞋来分析这个案例，客观判定一下到底怪谁？

另外也欢迎回复反馈以下几点：

1，甲方厂商喜欢什么样子的白帽子？

2，心目中最有节操的白帽子有哪些？

3，没有白帽子群体是不是对厂商更加有好处？

斩断危害中国数据安全的魔手 ——揭秘疯狂对华实施数据窃取的ATW组织