凌晨两点，渗透我盯着屏幕上的渗透命令行，手指悬在回车键上方。渗透目标是渗透一个市级教育门户网站，权限已经拿到，渗透数据库里躺着三万多名学生的渗透身份证号、家庭住址、渗透父母联系方式。渗透只要按下回车，渗透这些数据就会打包下载到本地——这是渗透渗透测试的最后一个环节，验证数据泄露风险是渗透否真实存在。

结果当然是渗透真的。那个漏洞出在教师登录接口上，渗透参数没有做任何过滤，渗透SQL注入像推开一扇没上锁的渗透门。我用的是最基础的万能密码，甚至不需要什么高级技巧。网站管理员大概以为装了防火墙就万事大吉，却忽略了代码层面的疏忽。这让我想起去年某省考试院的事件，同样是注入漏洞，导致几十万考生信息被拖库，在黑市上打包出售，标价不过两千块。

这种事儿干多了，你会发现一个规律：越是重要的系统，越容易在细节上翻车。政府和教育机构的网站往往外包给第三方公司开发，中标价压得极低，开发周期短得离谱。写代码的工程师拿的是项目提成，谁有耐心做安全测试？上线前能用就行，出了事再打补丁。可等到出事的时候，数据早就不知道流转多少手了。

有一次我测试某区政府网站，发现后台管理员的密码是“admin123”。这不算稀奇，更离谱的是，修改密码的接口居然没有验证旧密码，直接POST新值就能覆盖。我改了个复杂密码，然后通过找回密码功能重置回来——整个过程像在自家后院散步。后来我跟那边的技术负责人提了一嘴，对方苦笑说：“知道有漏洞，但预算批不下来，领导觉得网站能打开就行。”

领导们大概不知道，网络攻击不是电影里那种炫酷的黑客对决。真正的渗透往往枯燥得让人打瞌睡——翻源码、测参数、试弱口令，像开锁匠一样逐个尝试。可一旦打开一扇门，后面就是整个房间的档案柜。360的工程师跟我说过一句话，我记到现在：“漏洞不是找出来的，是等出来的。只要系统在跑，代码在动，总有新问题冒出来。”

我见过最讽刺的案例，是一家做网络安全培训的公司。他们的官网被脱裤，学员报名数据全没了。攻击者用的手法，跟他们课程里教的“常见漏洞演示”一模一样。你说这算不算黑色幽默？

写这些不是为了吓唬谁，只是想说，安全不是买个贵一点的防火墙，也不是定期做做扫描就能交差的事。它得有人真的趴在键盘前，像拆炸弹一样逐行看代码，像考古一样翻历史记录。我认识一个白帽子，专门盯着小县城的政务系统测，他说：“大厂有专门的安全团队盯着，反倒是这些小地方，漏洞一躺就是好几年。”

回车键终究没有按下去。我截了图，写了份报告，把漏洞细节附上，发给CNVD。三天后收到回复，说已通知相关单位修复。又过了两周，我再去测那个接口，已经加上了参数过滤。

你看，漏洞这东西，你不管它，它就在那儿。你管了，它也就没了。但谁知道下一个漏洞藏在哪个不起眼的登录框后面呢？