《漫画小屋秋蝉渗透测试》

秋蝉漫画小屋的漫画老板老周，最近有点烦。小屋店里那台收银用的秋蝉老台式机，屏幕总在打烊后自己亮起来，渗透幽幽地泛着蓝光，测试像谁在半夜翻看漫画目录。漫画他跟我抱怨时，小屋手里正擦着一本《海贼王》的秋蝉绝版单行本，语气比书页还皱：“你说是渗透不是闹鬼了？监控录像里啥也没有。”

我拎着工具箱过去，测试没急着看那台机器。漫画先绕着屋子转了一圈。小屋小屋不大，秋蝉靠墙两排书架，渗透中间三张长桌，测试桌上散着《进击的巨人》和《间谍过家家》，角落里一台自动贩卖机嗡嗡响。老周跟在我身后，絮絮叨叨说最近总丢零钱，不多，一天几十块，他以为是哪个熊孩子顺手牵羊。

我蹲下来看收银机背后的网线接口，发现插着一个指甲盖大小的银色U盘，贴着“秋蝉”的标签。老周凑过来：“这不是我插的。”我拔下来，用读卡器连上自己的笔记本，扫描后里面只有一个伪装成图片的PHP脚本，文件名是“蝉蜕.jpg”。

这就有点意思了。脚本本身不算高明，老掉牙的反弹shell代码，但它的执行方式很刁——它会读取系统计划任务，在每天凌晨三点整触发一次，把收银系统里的交易记录打包加密，然后通过一个隐蔽的HTTP请求发到某个境外IP。老周说“闹鬼”的屏幕亮起，其实就是这个脚本在干活时调用了系统日志模块，不小心把休眠中的显示器唤醒了。

我问他最近有没有让外人碰过这台电脑。老周想了半天，一拍大腿：“上个月有个自称是‘网络维护员’的小伙子，说店里WiFi被蹭了，主动帮我升级了路由器固件。他当时在收银机前坐了十分钟，说顺便清理一下系统垃圾。”

那就对上了。那小伙子走时留了张名片，老周翻出来递给我，名片上印着“秋蝉科技服务部”。我试着拨那个电话，空号。再查那台路由器的管理后台，发现DNS被改成了一个奇怪的地址，所有访问银行支付页面的流量都会被悄悄重定向到一个钓鱼网站。老周脸都白了：“我每周都用网银给进货商打款啊。”

我没急着清理，先把那个境外IP和DNS地址记下来，然后把U盘里的脚本做了逆向分析。它其实还藏着一个后门——如果检测到收银系统连续三天没有交易记录，就会自动删除自身所有痕迹，然后从远程服务器拉取一个新的挖矿程序。这家伙把漫画小屋当跳板，既偷交易数据，又准备拿这台老电脑挖门罗币。

老周问我怎么办。我说先把路由器恢复出厂设置，改掉所有密码，那台收银机系统重装一遍，别再用管理员账号跑日常操作。他有点心疼：“里面存着三百多个会员的积分记录呢。”我说我先把数据库文件备份出来，用离线方式清洗后再导回去。

折腾到傍晚，总算弄干净了。老周递给我一瓶冰镇汽水，自己蹲在门口抽烟。夕阳把漫画小屋的招牌影子拉得很长，他说：“你说这些人图啥？我这小店一个月流水也就几万块。”

我灌了口汽水，指指墙角那台自动贩卖机：“你丢的零钱，其实也是那脚本干的——它每触发一次，就会用系统调用的方式让收银机的找零模块多吐几枚硬币，掉进后面接的塑料袋里。那个‘维护员’每隔一周就趁打烊后从后门进来取一次，监控死角，正好避开。”

老周听完愣了半天，最后把烟掐了，骂了句脏话，又笑了：“得，明天我去买台新电脑，再装个正经防火墙。这破机器，就当给秋蝉陪葬了。”

我把那个U盘收进工具箱。银色的外壳在灯光下反着光，标签上的“蝉”字写得还挺工整。这年头，连漫画小店的收银机都有人惦记，谁还敢说自己只是个小目标呢。