脚本小子

脚本小子（英文 Script Kiddie）是网络安全领域的一个贬义称呼，指那些缺乏真正的技术功底、依赖他人开发的现成工具和攻击脚本搞破坏，却自认为是黑客的初学者。

概述

真正的黑客通常具备扎实的编程和系统知识，能够自己分析程序、发现未知漏洞并编写利用代码；而脚本小子恰恰相反——他们并不理解攻击背后的原理，只是从网上下载现成的扫描器、漏洞利用程序或攻击脚本，照着教程点几下按钮，就对别人的网站和服务器发起攻击。

这个词带有明显的嘲讽意味。安全圈的典型刻板印象是：一个没有专业经验的少年，用别人写的工具攻击一些防护薄弱的无辜网站，然后到处炫耀「战果」，希望让朋友觉得自己很厉害。「小子」二字正是对这种幼稚心态的讽刺。需要说明的是，无论技术水平高低，未经授权入侵他人系统在世界各国都属于违法行为，脚本小子同样要承担法律责任。

主要特点

• 依赖现成工具：只会使用他人开发的扫描器、攻击脚本，不理解其工作原理，工具失效就束手无策。
• 不会发现漏洞：没有能力自己挖掘新漏洞，只能利用早已公开、大多已被修补的旧漏洞。
• 目标随机：往往批量扫描互联网，专挑防护松懈的网站下手，而不是有针对性的研究。
• 以破坏和炫耀为目的：篡改网页、留下「到此一游」式的标记，动机多为虚荣心而非技术追求。

与真正黑客的区别

黑客文化崇尚钻研精神：理解系统、写出代码、发现别人没发现的问题。脚本小子只是这种文化的拙劣模仿者，因此在圈内地位很低，甚至被视为对「黑客」一词的玷污。不过也有观点认为，不少安全从业者最初都经历过好奇模仿的阶段，关键在于是否走向系统学习，并把能力用在渗透测试、漏洞报告等合法正当的方向上。

常见问题

问：脚本小子算黑客吗？答：一般不算。黑客的核心是独立发现问题和编写代码的能力，脚本小子只会照搬他人工具，因此这个词本身就是用来和真正的黑客划清界限的。

问：脚本小子的行为违法吗？答：违法。是否使用自己写的工具并不影响定性，未经授权入侵、破坏他人计算机系统，在中国及绝大多数国家都构成违法甚至犯罪。

问：对技术感兴趣该怎么避免成为脚本小子？答：系统学习编程、操作系统和网络原理，在自己搭建的环境或经过授权的靶场、漏洞赏金平台上练习，而不是拿别人的网站练手。