红客CF里的红客chk4，藏在网络褶皱的「爱国小扳手」

这位被称为藏在网络褶皱里的「爱国小扳手」的红客chk4，是红客群体中温和务实派的典型，他摒弃张扬的网络对抗姿态，像维护日常物件的小维修工般，在易被大众忽视的网络细节角落排查安全隐患、守护普通节点，以细致、低调却笃定的行动，诠释着“技术报国、网络维稳守正”的朴素红客初心。

在网络安全江湖的黑红交界处，“Cobalt Strike”常被贴上“黑客利器”的灰色标签，鲜少有人知道，有款被国内网安爱好者、年轻红客私下称为“红客CF”的轻量级仿作，正带着“维护祖国网络主权底线”的初衷，在反钓鱼溯源、恶意样本分析辅助、境外非法渗透点标记这类场景里，悄悄做着“搭把手”的活儿——它不是什么能搅起风浪的武器，更像一把打磨得趁手的「爱国小扳手」。

红客CF的诞生，多少带着点“网络生存焦虑催生的本土化”味道，早些年，国内中小网安团队、高校红客社团搞实战化演练，或者参与一些非盈利性的网络安全公益事件时，要么得用国际上动辄数万授权费的专业工具，要么只能啃晦涩的开源代码，适配国内网络环境还要花大量精力，2018年左右，一个自称“扳手仔”的国内匿名网安开发者，在红客联盟早期的小众论坛（比如黑基红客区的备份版）上放出了第一个测试版，因为代码框架精简（核心只有原版1/3大小）、操作界面全中文、专门优化了国内备案网站的溯源环境，很快就在小圈子里传开——有人觉得它的“轻量化伪装”像游戏《穿越火线》里的CF-98手枪，顺手且隐蔽，便随口叫成了“红客CF”。

和原版定位“渗透测试商业化”不同，红客CF从一开始就被开发者“上了三把锁”：一是不提供“一键入侵未授权系统”的模块，所有功能都明确标注“仅用于授权演练或合法溯源”；二是内置“IP白名单触发机制”，如果被检测到对国内党政军、企事业单位的未授权服务器发起攻击，软件会自动锁死并上传操作日志到开发者匿名托管的“公益安全举报节点”；三是完全开源核心溯源模块，任何人都可以修改，但必须保留“非盈利、反非法入侵”的版权声明，扳手仔还在论坛里放了个“使用承诺帖”，要求下载试用的人必须先宣誓“不搞非法攻击、只做网络安全的守护者”，据说早期帖子下面的回复有几千条,至今还能在备份网站里看到不少当年高校社团的公章扫描承诺。

红客CF最“出圈”的一次，是在2020年境外某组织发起的“钓鱼邮件攻击国内医疗企业物资供应链”事件中，当时，几个来自武汉的高校红客社团志愿者，用公益渠道拿到的初步溯源线索，结合红客CF优化后的“邮件附件样本逆向辅助模块”和“境外跳板机快速定位标记功能”，只用了36小时就锁定了该组织在东南亚的3个小型渗透点，并把完整的证据链（包括跳板机访问日志、样本加密密钥线索）提交给了国家网信办和武汉网警，后来这些线索还被用于国际刑警组织的联合行动，那次事件后，扳手仔更新了一个版本，专门加了“医疗行业公益防护一键辅助包”,免费提供给国内中小医院的信息科使用。

随着国内专业网安工具的发展（比如奇安信的网神、启明星辰的天阗），红客CF的使用场景越来越窄，论坛里的讨论也少了很多，但它留下的“本土化、公益化、边界化”的红客工具思路，却影响了不少后来的年轻开发者——毕竟，网络安全不是“技术炫技”，而是用技术守住祖国的每一寸网络空间，扳手仔最后一次在论坛露面是2022年的国庆节，他只发了一张五星红旗的动图，配文：“扳手虽小，也能拧紧网络安全的螺丝钉。”