凌晨两点十七分，网络我的安全服务器防火墙日志里突然多出一条来自波兰的SSH登录尝试。用户名是脚本root，密码是网络"123456"——这种低级攻击每天都有几千次，但这次不一样，安全它成功了。脚本黑客只花了四秒就进了系统，网络然后像逛超市一样翻遍了数据库。安全我坐在屏幕前，脚本看着日志滚动，网络后背发凉。安全

那次事故之后，脚本我写了个脚本。网络不是安全那种高大上的AI防御系统，就一个几百行的脚本Python脚本，每隔三分钟检查一次登录日志，把连续失败超过五次的IP拉进黑名单，同时给管理员发邮件。就这么个简单东西，居然挡住了后来98%的暴力破解。网络安全从来不是玄学，是笨功夫的堆砌。

脚本里最核心的逻辑其实就一条：延迟惩罚。每次登录失败，强制等待时间翻倍——第一次等一秒，第二次两秒，第三次四秒。黑客的自动化工具通常没耐心等你十秒以上，它们会直接放弃这个目标，转向更容易的猎物。这比封IP有效得多，因为IP可以换，但时间成本骗不了人。我管这招叫"熬鹰"，比谁更能耗。

有个细节你可能没注意：大多数攻击脚本都内置了超时机制，超过五秒没连上就自动跳过。所以你的防御策略根本不需要多复杂，只要让攻击者在每个端口上多花几秒，他们就会像逛菜市场嫌菜贵的大妈一样，扭头走人。这招对扫描型攻击尤其管用。我甚至见过有人故意开放一个假端口，里面放满蜜罐文件，让攻击者下载半天才发现是假的。

真正让我意外的是，脚本上线三个月后，攻击频率反而上升了。刚开始我不理解，后来才想通——我的服务器被标记成了"慢速目标"，在黑客的共享情报系统里，这种目标意味着"有防御但不算强"，反而更吸引人。于是我又加了个功能：检测到连续攻击时，自动往系统日志里写假的管理员登录记录。黑客看到这些记录会以为自己已经得手，然后停止攻击。这个"装死"策略让实际成功入侵的次数降到了零。

现在我的服务器上跑着七个脚本，最老的那个已经两年没改过了。它们不漂亮，没有图形界面，输出全是黑白文字，但每一个都对应着一次真实的攻击教训。有个脚本专门监控凌晨三点到五点的异常流量，因为那段时间是我唯一不在电脑前的时候——黑客也喜欢挑人睡觉的时候干活。另一个脚本会在检测到异常时自动备份数据库，然后给手机发推送，标题就两个字："醒了"。

写网络安全脚本教会我一件事：防御的本质不是建更高的墙，而是让攻击者觉得翻墙不划算。人类黑客会评估成本，自动化工具会遵循超时机制，只要你比它们更有耐心，你就赢了。这行当里没有一劳永逸的解决方案，只有不断打补丁的日常。但话说回来，哪个行当不是这样呢？