渗透2017年

2017年3月，渗透年一个叫“永恒之蓝”的渗透年漏洞利用工具从美国国家安全局泄露出来，不到一个月，渗透年它就变成了席卷全球的渗透年勒索病毒WannaCry。医院挂号系统瘫痪，渗透年加油站没法刷卡，渗透年大学实验室的渗透年论文被锁死。那会儿我在一家小公司做运维，渗透年周五下班前刚给服务器打完补丁，渗透年周一早上就听说隔壁楼的渗透年公司中招了——他们的财务电脑弹出红色窗口，比特币赎金倒计时跳得人心慌。渗透年

这事让我第一次意识到，渗透年“渗透”早就不只是渗透年黑客电影里的炫技。它变成了一条流水线。渗透年有人专门扫IP段，渗透年有人写自动化脚本，有人负责洗钱。暗网上明码标价：一个企业内网权限卖500美元，一个政府邮箱账号卖2000。你不需要懂技术，花点钱就能买到一个“入口”。

那年夏天，我帮一个做外贸的朋友查他公司的网络。他总感觉邮箱被人偷看，报价单发出去，竞争对手第二天就能拿出更低的价格。我抓了两天流量包，发现他助理的电脑上装了一个叫“XX加速器”的软件——表面上是翻墙工具，实际上会把所有HTTP请求转发到一台位于东欧的服务器。助理说是在百度上搜“免费VPN”下载的。安装包大小才2MB，数字签名是伪造的。这就是典型的“水坑攻击”：攻击者不直接打你，而是在你必经之路上挖个坑。

更隐蔽的是供应链渗透。2017年9月，安全公司发现一个叫“CCleaner”的清理工具被植入后门。这个软件全球下载量超过20亿次，官方服务器被黑，攻击者替换了安装包。你从官网下载的“正版”，其实带着远程控制代码。它不偷钱，只收集主机名、IP、已安装软件列表——这些信息足够判断一台机器值不值得进一步渗透。我当时用的就是CCleaner，版本号对得上，吓得我立刻重装了系统。

企业内网里，“渗透”往往从一封钓鱼邮件开始。我见过最逼真的伪装：发件人显示为“HR部门”，附件是“2017年薪资调整方案.xlsx”。打开后没有宏警告，因为攻击者用了DDE（动态数据交换）技术，Excel会弹窗问“是否更新链接”，点“是”就中招。整个过程不需要用户启用宏，绕过了一大批杀毒软件。那个月，我们公司组织了三次钓鱼演练，第一次有40%的人点击，第三次降到8%。但真实攻击不会给你第三次机会。

个人用户也别觉得事不关己。2017年底，一个做自媒体的朋友找我，说他的微博账号被盗，发了一堆赌博广告。我查了他的登录记录，发现攻击者用的是“撞库”：从某电商泄露的数据库里拿到他的邮箱和旧密码，然后去微博试。他那个密码是2012年注册时设的，之后从没改过。撞库不需要任何技术漏洞，纯粹是利用人的懒惰。我帮他开了两步验证，又检查了其他账号——有三个网站还在用同一个密码。

渗透的本质是信息不对称。攻击者知道你用什么系统、什么版本、什么密码习惯，你连对方在哪都不知道。2017年那波浪潮里，最有效的防御不是买多贵的防火墙，而是做三件小事：给所有账号开两步验证，别用同一个密码，及时更新软件。听起来简单，但大多数人连第一件都做不到。我自己的做法是：用密码管理器生成随机密码，重要账号绑手机令牌，每季度检查一次登录设备。麻烦吗？有点。但比被勒索比特币省心多了。

那一年过去后，我养成了一个习惯：每次下载软件前，先看一眼官网的HTTPS证书是谁签发的，再搜一下“软件名+漏洞”看有没有新闻。这习惯救过我两次——一次是某PDF阅读器被曝捆绑挖矿代码，一次是某输入法上传用户击键记录。渗透不会消失，它只会换件衣服再来。你唯一能做的，是别让自己成为那条最容易钓的鱼。