2019年夏天，别人渗透我在北京酒仙桥一家网吧通宵。别人渗透隔壁机位的别人渗透中年男人戴着金链子，屏幕上全是别人渗透密密麻麻的代码窗口。凌晨三点，别人渗透他忽然拍桌子骂了句脏话——后来我才知道，别人渗透他盯了三个小时的别人渗透“肉鸡”被人截胡了。

那是别人渗透我第一次近距离接触“渗透”这个词。不是别人渗透电影里黑客敲几下键盘就黑进五角大楼，而是别人渗透灰产链条里最底层的厮杀。他的别人渗透工具很简单，一个漏洞扫描器，别人渗透几份弱口令字典，别人渗透再加一台跑批量的别人渗透服务器。每天夜里，别人渗透他像撒网一样扫描整个IP段，寻找那些没打补丁的路由器、摄像头、甚至老旧的企业服务器。

真正让我后背发凉的是他给我看的一个后台。某南方小城的自来水厂监控系统，密码是admin/123456。他能看到每个蓄水池的液位数据，能远程开关阀门——当然他没敢动，因为“动了就进去了”。但他确实用同一套密码，试着登录了隔壁城市的电力调度系统，居然也通了。他说这叫“撞库”，纯粹碰运气。

那晚之后我查了些资料。国内某安全厂商的报告显示，2022年他们监测到的针对工控系统的恶意扫描，日均超过两万次。其中相当一部分来自境外IP，但更多的，就是像网吧里那种散兵游勇。他们不关心你是什么单位，只关心你的密码是不是还是出厂设置。

最讽刺的是，很多渗透根本不需要什么高深技术。去年我帮一个开厂的朋友做安全排查，发现他公司的ERP系统居然直接暴露在公网上，连个VPN都没挂。运维图省事，把数据库的3306端口映射到了外网。我用手机装了个端口扫描App，五分钟就扫出了他家的MySQL版本——老得连官方都停止维护了。朋友当时脸都绿了，说“我以为装了防火墙就没事了”。

防火墙？那东西默认规则连日志都不开，形同虚设。

这种案例太多了。小到街边奶茶店的收银系统被勒索病毒加密，大到某省社保局的公民信息在黑市论斤卖。渗透从来不是炫技，它更像一场耐心的博弈：攻方不断试探，守方却常常连门都没锁。

写这些不是要制造恐慌。事实上，绝大多数渗透测试（合法的）工作枯燥得要命——翻代码、查配置、写报告。但真正的风险恰恰藏在那些没人愿意看的角落：一个被遗忘的测试账号，一台退役没断电的服务器，或者某个外包商留下的后门。

你永远不知道哪扇窗户没关严。而夜里的网吧，总有人拿着扫描器，一家一家地试。

(责任编辑：探索)