凌晨两点，渗透第期我盯着屏幕上那行绿色的渗透第期字——“权限已提升”。这是渗透第期第七次了。每一次渗透测试，渗透第期都像在跟一个看不见的渗透第期对手下棋，而这次，渗透第期对面是渗透第期那家号称“银行级防护”的医疗系统。

漏洞其实很蠢。渗透第期他们的渗透第期运维把备份文件放在Web目录下，文件名就叫backup_2024.zip。渗透第期我猜他们觉得没人会猜到这个命名习惯，渗透第期毕竟去年是渗透第期backup_2023。下载，渗透第期解压，渗透第期数据库配置文件就躺在里面。渗透第期密码是Password@123，连盐都没加。说实话，那一刻我有点失望——这活儿干得太没成就感了。

但真正让我后背发凉的，是进去之后看到的。十万多条患者病历，包括HIV检测结果、精神科诊断记录，还有几个政府官员的体检报告。他们的防火墙日志显示，我并不是第一个进来的人。早在三周前，就有一个IP来自东欧的访问记录，下载了同样一份备份文件。也就是说，在我之前，已经有别人拿着钥匙进过这间屋子，而我还在为撬开锁而沾沾自喜。

这行当干久了，人会变得有点神经质。每次拿到权限，第一反应不是庆祝，而是检查自己是不是踩进了蜜罐。去年有个同行，费了三天劲打进一家银行的内部系统，结果发现那是个专门部署的诱饵环境——对方安全团队在GitHub上放了个假源码，故意留了后门，等着他上钩。他倒好，不仅上了钩，还在系统里留了段注释：“别费劲了，你们拦不住我。”第二天，他的真实身份就被挂在了暗网上。

所以我现在学乖了。拿到数据，先看修改时间。如果最后修改时间比系统上线时间还早，那八成是假的。再看文件大小，太整齐的数字往往意味着有人在里面塞了填充垃圾。最后，我会故意改一个文件的内容，然后等三天——如果三天后这个改动还在，那才敢确认自己真的进去了。

这套土办法救过我两次。一次是去年，对方在数据库里藏了个触发器，只要我执行查询，就会往他们的日志服务器发送我的内网IP。另一次就是这次，我差点把那个备份文件当成真货，直到发现它的压缩包注释里写着“诱饵V2”。

说实话，我挺烦这种猫鼠游戏的。但更烦的是那些把“安全”挂在嘴边却不干人事的企业。他们的安全预算花在了给CEO换新车上，而不是给服务器打补丁上。我见过一家做支付的公司，开发环境直接暴露在公网，数据库密码写在代码注释里。我给他们发了三封提醒邮件，石沉大海。最后我只能把漏洞报告发到他们的监管机构邮箱——结果那封邮件被系统自动归类为垃圾邮件。

第七期渗透结束，我关掉虚拟机，把报告存进加密U盘。窗外天快亮了。这份报告会发给谁，对方会不会认真看，我不知道。但有一点我确定：下个月，肯定还会有人从那个备份文件进到那套系统里——除非他们真的动手改了那个蠢到家的命名习惯。