凌晨三点十七分，入侵过程我盯着服务器日志里那条异常的入侵过程SSH登录记录，心跳漏了一拍。入侵过程来源IP是入侵过程荷兰某家不起眼的小型VPS供应商，登录账户是入侵过程“admin”，密码尝试次数：1次，入侵过程成功。入侵过程这不对劲。入侵过程我们早就禁用了admin账户的入侵过程密码登录，只允许密钥认证。入侵过程除非——有人改过配置。入侵过程

我立刻翻出两周前的入侵过程备份配置文件，对比当前运行状态。入侵过程果然，入侵过程/etc/ssh/sshd_config里多了一行PermitRootLogin yes，入侵过程还被注释掉了原本的PasswordAuthentication no。改动时间戳是三天前的凌晨四点零二分，正好是我出差在飞机上、手机没信号的那几个小时。攻击者挑了个没人盯监控的窗口，手法干净，没触发任何告警阈值——因为阈值是我自己设的，只监控失败登录，不监控成功。

顺着这条线往下挖，发现对方根本没用什么零日漏洞。他走的是最老土的路：一个暴露在公网的Jenkins测试实例，弱口令“jenkins:jenkins”，三个月前部署时忘了改。拿到Jenkins的脚本执行权限后，他读到了环境变量里的AWS临时凭证，再用这些凭证调用了EC2的DescribeInstances，摸清了内网拓扑。整个过程像用一把生锈的钥匙打开了一扇没锁的后门，一点都不“黑客”。

真正让我后背发凉的是接下来这一步。他没有急着横向移动，而是先在自己控制的C2服务器上跑了一个脚本，专门扫描我们内网所有主机的SSH版本号。结果发现有三台老旧的CentOS 6机器还在跑OpenSSH 5.3，上面有个CVE-2016-0777的漏洞，能泄露内存里的私钥片段。他花了整整两天，只做这一件事——收集私钥。没有暴力破解，没有钓鱼邮件，就是安安静静地等，像钓鱼的人盯着浮漂。

第四天凌晨，他用拼凑出来的私钥登录了跳板机。跳板机上有我半年前写的自动化部署脚本，脚本里硬编码了数据库的只读账户密码。他没动数据，而是创建了一个新的IAM用户，权限策略附上了iam:CreateAccessKey和iam:AttachUserPolicy。这个新用户的名字叫“backup-service”，看起来像运维自己加的。之后他删掉了Jenkins上的登录日志，清空了bash history，甚至把SSH配置改回了原样。如果不是我那天半夜失眠随手翻日志，可能再过两周都不会有人发现。

事后复盘，最讽刺的地方在于：我们买了WAF，部署了IDS，每季度做渗透测试，但攻击者走的每一条路都是合法功能。Jenkins的脚本执行是设计如此，AWS的临时凭证是正常发放，SSH的密钥认证是标准流程。他只不过是把这些碎片按顺序拼了起来，像拼乐高一样，没弄坏任何一块积木。

我后来在防火墙日志里找到一条被忽略的记录：攻击者第一次扫描我们外网IP段的时间，是六周前的某个周二下午。那天我正忙着改一个前端bug，顺手把安全组的入站规则从“仅公司IP”改成了“0.0.0.0/0”，想着“反正就开十分钟”。那十分钟里，他完成了第一次端口探测。

入侵从来不是什么惊天动地的爆破。它更像水从墙缝渗进来——你发现的时候，地板已经泡发了。而那道缝，往往是你自己为了方便，随手凿开的。