凌晨三点，黑客某家银行的入侵防火墙日志里突然多了一条合法请求。请求来自内部IP，攻击过程访问的黑客却是外网一个从未记录过的域名。安全团队后来复盘时发现，入侵这条请求就是攻击过程整个攻击链的起点——攻击者早在一个月前就拿到了内部员工邮箱的密码，而密码是黑客通过钓鱼邮件获取的，邮件标题是入侵“季度奖金调整通知”。

黑客入侵从来不是攻击过程电影里那种“噼里啪啦敲键盘，进度条从0飙到100%”的黑客场面。真实过程更像一场精心策划的入侵入室盗窃：先踩点，再撬锁，攻击过程进去后翻箱倒柜，黑客最后悄无声息地撤离。入侵每一步都有明确目的攻击过程，且环环相扣。

第一阶段叫侦察。攻击者会花大量时间收集目标信息。公司官网、LinkedIn上的员工职位、招聘广告里透露的技术栈、GitHub上泄露的代码片段，甚至社交媒体上晒出的工牌照片——这些公开信息拼凑起来，就能勾勒出网络拓扑的轮廓。我见过最极端的案例，攻击者通过分析目标公司食堂菜单的供应商名称，成功定位到其使用的OA系统版本，因为这个供应商的官网上恰好挂着客户的案例介绍。

第二阶段是武器化与投递。攻击者根据侦察到的信息，定制攻击载荷。如果发现目标用Windows 7，就准备针对该系统的漏洞利用工具；如果发现员工常上某个论坛，就克隆一个一模一样的登录页面。然后通过邮件附件、恶意链接、USB摆渡等方式把武器送进去。别以为只有大公司才会被盯上——我认识的一位白帽子黑客，为了测试某家奶茶店的会员系统，在店门口捡了张员工扔掉的收据，上面印着后台管理员的登录URL。

第三阶段是漏洞利用与安装。一旦武器被触发，攻击者就获得了立足点。可能是反弹shell，可能是植入后门Webshell，也可能是创建隐藏账户。这个阶段最考验技术，因为要绕过杀软、绕过EDR、绕过分组策略。但更考验的是耐心——很多攻击者会在这里停手，先观察几天，看看有没有触发告警。真实案例里，有攻击者在拿下服务器后，特意改了系统时间，让日志里的操作记录与真实时间错开，干扰溯源。

第四阶段是权限提升与横向移动。拿到普通用户权限后，攻击者会像蚂蚁一样在内部网络里爬。他们用Mimikatz抓取内存中的明文密码，用Pass-the-Hash技术冒充其他用户，通过SMB共享、RDP远程桌面、甚至打印机的漏洞向其他机器蔓延。这个过程往往很吵，但如果网络管理员平时就不看日志，那这些动静就像掉进深水里的石子。有个案例让我印象极深：攻击者通过域管账号登录了所有服务器，但管理员日志里只记录了“正常登录”，因为攻击者用的是合法凭证，系统不认为那是入侵。

最后一步是达成目标与痕迹清理。可能是加密数据勒索，可能是窃取数据库导出，也可能是纯粹破坏。做完正事后，攻击者会删除日志、擦除工具、恢复被修改的系统文件。有些谨慎的会留着后门，方便下次再来。清理痕迹不是简单地删文件，而是要把时间线理顺——比如把修改过的注册表项改回去，把上传过的工具从回收站里彻底粉碎。

整个流程走完，短则几小时，长则数月。但有个规律几乎不变：攻击者花在侦察上的时间，往往比实际动手的时间长得多。那些被入侵的公司，事后查日志时总会发现，攻击者的第一次试探可能发生在几个月前，只是没人注意到那条异常的总部到分部的VPN连接，或者某个凌晨三点钟的数据库备份请求。