内容摘要：凌晨三点十七分，我盯着那串数字——2722971z——在日志文件里闪烁。这不是什么高级黑客的代号，也不是加密算法的密钥。它是一台被攻陷的打印机，在某个不知名的小公司里，默默加入了僵尸网络。 渗透测试报

凌晨三点十七分，渗透我盯着那串数字——2722971z——在日志文件里闪烁。渗透这不是渗透什么高级黑客的代号，也不是渗透加密算法的密钥。它是渗透一台被攻陷的打印机，在某个不知名的渗透小公司里，默默加入了僵尸网络。渗透

渗透测试报告上，渗透这串编号代表着一个被忽视的渗透入口。那台打印机连着公司内网，渗透默认密码从没改过，渗透固件版本停留在三年前。渗透我猜没人会想到，渗透最不起眼的渗透设备往往是最大的突破口。

真正让我后背发凉的渗透，是渗透进去之后看到的景象。那台打印机的任务队列里，躺着几十份扫描件——身份证复印件、银行流水、劳动合同。没人删除它们，也没人意识到这些文件正暴露在网络上，像把家门钥匙放在门口脚垫下，还贴了张纸条写着“备用钥匙在此”。

我试着往这台打印机上传了个测试文件，打印出来一张纸，上面写着“hello”。第二天，那家公司照常运转，没人发现任何异常。这种沉默比任何警报都让人不安——攻击者可以悄无声息地待上几个月，等到某个关键时刻才动手。

后来我跟一个做运维的朋友聊起这事，他笑了笑，说这太常见了。他管着上百台设备，最怕的不是服务器被攻破，而是某个员工自己带来的智能音箱连着办公WiFi。他说有一次，他们公司楼下的咖啡机都能被远程控制，调水温、改配方，全凭黑客心情。

2722971z这个编号，现在成了我电脑里的一个标记。我给它加了条备注：“打印机，默认密码admin，已通知客户修改”。但我心里清楚，通知归通知，改不改是另一回事。很多公司觉得渗透测试就是走个过场，报告拿到手，漏洞列表看一眼，然后继续忙别的。

有个细节我印象很深——那台打印机的位置图显示，它就放在前台旁边。每天进出公司的人都会经过它，却没人多看它一眼。技术上的漏洞往往好补，真正的漏洞在人心里：觉得“应该没事吧”，觉得“不会轮到我”。

一周后我回访，那台打印机的密码还是admin。我没再提醒，因为提醒也没用。渗透测试能做的，就是把2722971z这样的隐患挖出来摆到明面上，至于人家看不看，那不是我能控制的事。

写这份报告的时候，我特意没把打印机所在的公司名字写出来。不是保护他们，是觉得没必要——反正过不了多久，又会有别的2722971z冒出来，在某个角落默认运行着，等着某个不眠的凌晨被人发现。