一句话回答：黑帽黑客是干什么的

黑帽黑客（black hat hacker）指在没有获得授权的情况下，以入侵系统、窃取数据、加密勒索、植入恶意程序或转卖访问权限来获利，或者单纯为了炫耀能力而实施攻击的人。与之相对的是在明确授权范围内测试并报告漏洞的白帽黑客（white hat hacker）。

先纠正一个高频误解：中文里的“黑客”常被直接等同于攻击者，但在英文原始语境中，hacker 指的是热衷钻研系统内部机制的人。IETF 早期发布的术语表 RFC 1983 把 hacker 定义为“喜欢深入理解系统，尤其是计算机与计算机网络内部运作方式的人”，并明确它与恶意破坏者不是同一个概念。参见 IETF RFC 1983：Internet Users' Glossary。

“黑帽”“白帽”的说法从哪来

“黑帽/白帽”借自早期美国西部片用帽子颜色区分正邪角色的惯例，后来被信息安全行业沿用：白帽代表合法授权、以改进防御为目的；黑帽代表违反授权、以攻击获利为目的。这是行业约定俗成的分类，并非任何官方标准，所以不同资料对边界的描述会略有差异（参见 Wikipedia：Security hacker，该条目为百科整理，不是权威定义）。

灰帽黑客（grey hat hacker）介于两者之间：技术上未经授权，动机往往是“证明漏洞存在”而非牟利。但在法律层面，动机良好并不等于免责，是否越界访问、是否接触真实用户数据、是否造成损害，才是判断关键。

黑帽黑客主要在做哪些事

不存在一份“黑帽黑客标准工作清单”，但从公开的执法通报、厂商威胁情报与司法案例中可以归纳出几类高频行为：

  • 未授权入侵主机、后台、数据库或云账号，获取管理员权限
  • 投放恶意程序与勒索软件，加密数据后索要赎金
  • 钓鱼与账号接管：伪造登录页、邮件、短信骗取凭据
  • 用已泄露的账号密码撞库，或对弱口令批量爆破
  • DDoS 攻击与“付费打站”式敲诈
  • 窃取并出售数据、个人信息与虚拟资产
  • 供应链攻击：向开源依赖、第三方脚本或插件投毒
  • 加密货币挖矿劫持，占用服务器算力
  • 把被黑网站变成跳板、代理节点或垃圾内容分发点

这些行为的共同点是：受害方没有授权，攻击者从中获得金钱、数据或控制权。这也正是它与合法渗透测试的分界线。

常见技术手法（防御视角概览）

本文只做概览，不提供可执行的攻击步骤。理解手法的目的是识别与防御。

  • 社会工程学：利用人的信任而非技术漏洞，是钓鱼、冒充客服、冒充供应商的底层方法
  • 漏洞利用：把软件缺陷（注入、越权、文件上传、反序列化等）转化为实际控制权
  • Web 层攻击：OWASP Top 10 汇总了访问控制失效、注入、加密失效等最常见类别，可作为站点自查框架
  • 横向移动与权限提升：从一个低权限入口继续扩大控制范围
  • 隐蔽与持久化：后门、计划任务、Webshell，使清理不彻底时攻击会复现

黑帽黑客、白帽黑客、灰帽黑客的区别

  • 白帽黑客：有书面授权，在约定范围内测试，发现问题后按流程报告，通常设有保密期
  • 黑帽黑客：无授权或超出授权范围，以获利或破坏为目的，行为通常直接违法
  • 灰帽黑客：无授权但通常不牟利，动机是证明漏洞存在；在法律上仍可能构成非法访问

判断标准不是“技术好不好”，而是“有没有授权”。

黑帽黑客和黑帽 SEO 不是一回事

这是搜索“黑帽黑客是干什么的”时最容易踩的坑：两个词共享“黑帽”两个字，但专业领域完全不同。

  • 黑帽黑客属于信息安全范畴，对抗对象是系统、账号和数据
  • 黑帽 SEO 属于搜索引擎优化范畴，对抗对象是搜索引擎的排名规则，典型手段包括隐藏文本、伪装页面（cloaking）、批量买卖链接、站群、蜘蛛池、泛目录、寄生虫页面等

Google 在官方文档中把这些操纵排名的做法明确列为违反垃圾内容政策的行为，并说明一旦判定可能采取自动或人工处理，包括排名下降甚至不再展示。Google 垃圾内容政策（Spam Policies）

两者的交集只存在于技术层面：黑帽 SEO 需要批量建站、自动化发布、代理与爬虫控制等能力；而网站被黑之后，攻击者常在页面里注入垃圾链接或跳转代码，反过来造成 SEO 层面的损失。也就是说，做黑帽 SEO 的人不一定懂入侵，但被入侵的站点往往连带出现 SEO 事故。

如果你真正想找的是黑帽 SEO 工具的分类、常见用法与已知风险，而不是入侵技术，可以另外参考烟雨黑帽 SEO 工作室公开整理的相关资料；这类手段的真实风险是域名被标记、排名归零、站点被封，而不是“稳定有效”。

法律与平台规则划出的边界

在中国，《中华人民共和国网络安全法》《中华人民共和国刑法》以及《数据安全法》《个人信息保护法》都对非法侵入、干扰、破坏计算机信息系统，以及非法获取、出售数据的行为设有责任条款。具体罪名、构成要件与量刑应以法律原文和司法解释为准，本文不构成法律意见。

在平台层面，Google 的垃圾内容政策覆盖隐藏文本、伪装、链接买卖、大规模生成的低质内容等，违反政策的站点可能被降低排名或不予展示。平台处罚不替代法律责任，两者可能同时发生。

实操：网站出问题，是安全事件还是 SEO 风险

这两类问题经常同时出现，建议按下面的顺序判断。

  • 出现未知页面、未知管理员账号、页面被插入跳转或外链 → 优先按安全事件处理
  • 排名整体下滑但站点结构未变、外链突然暴增、收录量异常 → 优先按 SEO 风险排查
  • 两者都要检查：Search Console 的安全问题与手动操作报告、服务器访问日志、文件完整性与修改时间、robots.txt、sitemap、canonical 与内链是否被改动

处理顺序建议：先止损（改密码、开启多因素认证、隔离被污染文件、保留日志证据），再清理（删除后门与注入内容），最后才考虑收录与排名恢复。顺序颠倒，通常会导致清理后又被重新植入。

普通站点最该做的防御动作

  • 及时更新 CMS、插件与依赖库，关闭不用的组件
  • 后台与数据库使用强密码并启用多因素认证，遵循最小权限原则
  • 保持可回滚的异地备份，并定期做恢复演练
  • 开启日志并保留足够时长，出问题才有证据链
  • 对表单与上传做输入校验；WAF 是补充，不宜作为唯一防线
  • 给团队做社会工程学相关培训，钓鱼往往是最便宜的入口

FAQ

黑帽黑客是违法的吗？

未经授权访问、干扰或破坏他人计算机信息系统，在多数司法辖区都属于违法行为；是否构成犯罪、构成何种罪名取决于具体行为与后果。授权范围内的安全测试与前者性质不同。

黑帽黑客和白帽黑客的核心区别是什么？

是否获得明确授权，以及目的是改进防御还是获利、破坏。技术上两者可能使用同样的工具。

黑帽黑客和黑帽 SEO 是同一批人吗？

不是。前者是信息安全领域的攻击者，后者是操纵搜索引擎排名的手法使用者，技能栈、目标与风险类型都不同。

学网络安全会不会不小心变成黑帽黑客？

不会自动变成。边界在于：只在自有环境或获得书面授权的目标上测试，不接触真实用户数据，不越界访问。

网站被黑之后，最先应该做什么？

先隔离与取证：修改所有相关密码、启用多因素认证、保留日志、确认入侵入口，然后才清理恶意文件。

黑帽 SEO 会被 Google 处罚吗？

Google 官方明确把操纵排名的做法列入垃圾内容政策，并说明可能采取自动或人工处理。但是否被处理、何时被处理，Google 并未提供可预测的规则。

参考资料

资料核对时间以所引官方页面当前版本为准；搜索引擎政策与安全威胁形态都会变化，建议定期回看原文。