网安推送

上周三凌晨两点，网安推送我手机弹出一条推送：某地政务系统遭勒索软件攻击，网安推送办事大厅排起长队。网安推送配图里大爷举着身份证干瞪眼，网安推送窗口电脑蓝屏。网安推送这事不新鲜，网安推送但推送标题用了“紧急”俩字，网安推送我点进去，网安推送发现攻击入口竟是网安推送一个废弃三年的测试账号，密码还是网安推送admin123。

运维老张后来在群里骂街：那台机器早该下架，网安推送流程卡在“等领导签字”上，网安推送签了八个月。网安推送攻击者没用什么高级漏洞，网安推送扫到端口开着，网安推送试了三次密码就进去了。数据被加密前，系统日志里连个告警都没触发——因为压根没人看日志。

这行干久了会发现，大部分“网络安全事件”拆开看，都是人懒出来的窟窿。去年某医院被钓鱼邮件钓走挂号数据，调查结果哭笑不得：IT部门群发过防钓鱼通知，但邮件本身带着可疑链接，点开就中招。更绝的是，通知里写“请勿点击不明链接”，落款是“信息科”，而信息科真正的邮箱后缀是@hospital.cn，那封通知的发件人是@hosptial.cn——少了个i。

你看，攻击者甚至不用懂技术。买套钓鱼模板，注册个相似域名，群发。总有人赶着开会、忙着回消息，手指一滑就点了。点完输入密码，后台就收到明文。整个过程比点外卖还简单。

我认识一个做渗透测试的哥们，他接活儿有个习惯：先不碰系统，去翻目标公司的招聘广告。招“运维工程师，熟悉Struts2框架”的，他就直接试Struts2漏洞；招“急聘！熟悉WebLogic”，他就对着WebLogic打。命中率奇高。他说这叫“按图索骥”，企业自己把技术栈写在招聘要求里，等于把钥匙插门上。

还有更省事的。某次攻防演练，红队拿分全靠一个Excel表格——蓝队成员在共享盘里放了份《弱口令自查表》，里面列着所有系统默认密码。红队顺着表挨个试，半小时拿下八个后台。蓝队发现后紧急删除，但回收站没清空。

说回开头那个政务系统。事后复盘，最该背锅的不是那个测试账号，而是“等签字”的流程。安全整改卡在行政环节，比漏洞本身更致命。攻击者凌晨两点动手，因为那个时间点没人审批、没人看监控、没人重启服务。安全设备亮着红灯，值班室电话响了三声，没人接——保安以为又是推销。

所以别总盯着APT、零日漏洞这些词。真正把门踹开的，往往是“admin/123456”和“下次一定改”。网安推送天天发，提醒这个补丁那个策略，但推送底下第一条评论永远是：“我们公司连防火墙过期两年了都没续费。”

你问怎么防？先把默认密码改了。再把离职员工的账号删了。最后，别把密码写在便利贴上贴显示器边框。这三件事做完，能挡住八成以上的“黑客”。剩下的两成，再谈买什么高级设备。

凌晨那条推送后来被删了，换成了“系统已恢复”。但我知道，那个admin123的账号还在某个角落亮着。下次攻击者可能换个时间，比如周五下午五点——大家忙着下班，没人看告警。