凌晨三点，暴库我盯着屏幕上的暴库红色报错，手边的暴库咖啡已经凉透了。隔壁工位的暴库老张凑过来看了一眼，只说了句“又暴了？暴库”就转身走了，连个同情的暴库眼神都没留。这是暴库我们这个月第三次数据库被拖库，甲方那边的暴库电话已经打爆了运维的手机。

所谓“暴库”，暴库圈内人一听就懂，暴库外行可能以为是暴库数据库崩溃——其实比崩溃更恶心。崩溃是暴库系统自己不行，暴库是暴库被人扒光了衣服。黑客通过SQL注入、暴库弱口令爆破或者干脆从源码里翻出硬编码的暴库数据库密码，像拿钥匙开门一样走进你的核心数据仓库，然后把几百万条用户信息打包带走。整个过程可能用不了一首歌的时间。

去年有个做电商的朋友找我喝酒，说他们被暴库了，整整两百万条订单记录在暗网上论斤卖。他苦笑说：“你知道最讽刺的是什么吗？我们的防火墙是花大价钱买的，安全审计也过了三级等保。结果呢？黑客是从一个过期没删的测试接口进去的，那个接口还是开发三年前留着调bug用的。”他说完仰头把一杯白酒干了，眼神里全是无力感。

这事儿真不怪技术不行，而是人太懒。很多公司的数据库密码就贴在工位显示器边上，或者存在团队的共享文档里，权限一开就是全部库，连个分库分表的意识都没有。我见过最离谱的案例，某金融公司把生产库的root密码设成了“admin123”，被安全测试的实习生一天之内猜了出来——这哪是暴库，这是敞着大门请人进来搬东西。

但话说回来，暴库这事儿也分三六九等。有些是低级失误，有些却是“高级黑”。比如那种用时间盲注一点点把数据抠出来的黑客，能在一个字段上耗三个小时，耐心得像个钓鱼的老头。而防守方呢，往往是在数据已经挂在黑市上论条卖的时候才收到风，还是因为某个买了数据的同行举报才发现的。

我记得有个安全圈的老前辈说过一句话，特糙但特在理：“数据库就像你家保险箱，密码设成生日，那就不叫保险箱，叫给小偷留的便利贴。”这话虽然扎心，但现实就是如此。很多小公司连基础的数据加密都没做，明文密码直接存库，用户注册时填的身份证号、住址、银行卡信息，全都赤裸裸地躺在那里等着被抄家。

最让我后背发凉的一次，是帮一个朋友排查他们被暴库后的影响面。打开导出文件的时候，我看到了一个熟悉的名字——那是我高中同学。他的账号密码、手机号、甚至家庭住址都在里面。那一刻我才真切意识到，暴库不是屏幕上冷冰冰的数字，背后是一个个活生生的人。他们可能正在接到诈骗电话，可能银行卡里的钱正在被一笔笔转走，而他们什么都不知道。

后来我养成了个习惯，凡是注册过的网站，密码绝不重复，重要账号全部开双重验证。有人笑我小题大做，我就把那次排查的经历讲给他们听。每次讲完，对方都会沉默几秒，然后默默打开手机去改密码。

暴库这事儿，说到底是一场不对等的战争。攻击者只需要一个漏洞，防守者却要堵住所有的口子。而最操蛋的是，很多公司连自己有哪些口子都搞不清楚。等真出了事，第一反应不是反思，而是公关、删帖、甩锅。等风头过去了，该咋样还咋样，直到下一次暴库来临。

那杯凉咖啡我最后还是没喝，倒掉的时候天已经蒙蒙亮了。老张发来条微信：“修好了没？”我回了个“嗯”。他又补了句：“下次记得改密码。”我看着屏幕，突然觉得这行干得真他妈的憋屈。