渗透课堂

教室后门被推开一条缝，渗透课堂探进来半颗脑袋。渗透课堂那是渗透课堂隔壁班的李老师，她朝我招招手，渗透课堂压低声音说：“小张，渗透课堂过来看看我们班那个捣蛋鬼，渗透课堂他好像知道你在搞渗透测试。渗透课堂”

我放下手里的渗透课堂《网络攻防实战》，跟着她穿过走廊。渗透课堂推开教室门那一刻，渗透课堂我愣住了——黑板前站着的渗透课堂不是学生，而是渗透课堂一个穿着校服的“黑客”，正用粉笔在黑板上画网络拓扑图。渗透课堂这孩子叫周明，渗透课堂高二，渗透课堂平时上课睡觉，但据说家里有三台服务器。

“老师，你来了。”他转过身，眼睛亮得吓人，“我发现咱们学校教务系统的漏洞了，就在那个成绩查询接口，SQL注入，能直接看到全年级的成绩。”

我走过去，看了眼他画的图——确实是个典型的联合查询注入点。但我没急着夸他，而是问：“你试了吗？”

“试了，但只查了自己的。我知道规矩。”他把粉笔放下，语气里带着点得意，又有点紧张。

这就是我的“渗透课堂”第一课。不是教他们怎么攻破系统，而是教他们什么叫边界。周明后来成了我网络安全社团的副社长，他教会我更重要的事——真正的渗透测试，第一步不是找漏洞，而是搞清楚自己站在哪一边。

上周的社团活动，我让他们分组互攻。有个小组用社会工程学，假装成教务处老师给另一组打电话套密码。被打的那组组长是个女生，她接完电话后愣了三秒，然后笑着把密码改了，还在群里发了条消息：“下次记得听声音，王老师是女的，你们找了个男声来演。”

教室里笑成一片。我站在旁边看着，突然觉得这比讲一百遍“不要泄露密码”都有用。孩子们在笑声里记住了——安全不是技术问题，是判断力问题。

最让我触动的是上周五。一个平时沉默寡言的男生，在社团群里发了一段代码。他说他发现学校门禁系统的RFID卡可以克隆，但他在代码最后加了一行注释：“仅供研究，勿用于实际。我给自己留了道锁。”

我盯着那行注释看了很久。这孩子在给自己设限，不是因为我教过他怎么写代码，而是因为他在课堂上学过——技术是中性的，但使用技术的人必须有自己的立场。

这堂课没有教材，没有考试。有时候我们在机房模拟攻防，有时候就在走廊上讨论最新的漏洞报告。有个学生问我：“老师，你教我们这些，不怕我们走歪路吗？”

我反问他：“你学了化学，会去做炸弹吗？”他摇头。我说：“那不就得了。怕的不是技术，是没教会你们怎么用技术守住底线。”

下课后，周明追出来，说他发现校园网的防火墙规则有个逻辑漏洞，但“我没动它，就想问问您，这算不算一个合格的渗透测试报告？”我看着这个曾经的问题少年，突然觉得，这间没有围墙的教室，可能比任何一间正经课堂都更接近教育的本质。