内容摘要：去年秋天，我帮一个开咖啡馆的朋友查他店里的网络。他怀疑有人蹭网，结果我在路由器后台看到一台陌生设备，MAC地址指向一台2019年的联想笔记本。那台机器连续三天在凌晨两点到四点之间访问他收银系统的内网端

去年秋天，何入我帮一个开咖啡馆的侵别朋友查他店里的网络。他怀疑有人蹭网，电脑结果我在路由器后台看到一台陌生设备，不被MAC地址指向一台2019年的发现联想笔记本。那台机器连续三天在凌晨两点到四点之间访问他收银系统的何入内网端口。没装杀毒软件，侵别系统补丁停在2021年。电脑这事让我想起一个老话题——入侵一台电脑，不被真正难的发现不是“进去”，是何入“不被发现”。

大多数人以为入侵是侵别敲几行命令就完事。现实里，电脑最有效的不被入口往往跟技术无关。我见过有人把恶意U盘扔在目标公司停车场，发现标签写着“2024年终奖名单”。捡起来插上电脑的人，比任何漏洞都管用。这叫物理社工，成本低，追踪难。你甚至不需要知道对方用什么系统。

如果非要走网络路径，先看目标暴露了什么。Shodan上能搜到全球连网的摄像头、路由器、打印机。有人用默认密码admin/admin就进去了。2023年有个案例，某小型律所的文件服务器开着RDP端口，密码是“lawyer123”。攻击者没用什么零日漏洞，就是猜的。进去之后，第一件事是关掉Windows Defender的实时监控，然后建一个隐藏管理员账户，名字起得像系统服务，比如“WinUpdateSvc”。

真正要“不被发现”，得模仿正常流量。半夜三点从境外IP登录，日志里一眼就看出来。有人用目标自己的VPN出口，或者干脆在目标内网里找一台常年开机的打印机当跳板。横向移动时，用WMI或者PsExec，这些是管理员日常工具，流量混在正常运维里。别用Mimikatz抓密码，那玩意儿一跑，EDR立刻报警。改用comsvcs.dll的MiniDump，把lsass进程内存导出来，动作小得多。

持久化是门手艺。计划任务太显眼，注册表Run键也容易被查。有人把后门塞进合法软件的更新计划里，比如伪装成Chrome的更新任务，路径指向一个带签名的可执行文件，实际加载的是shellcode。更狠的，直接改网卡驱动，流量在驱动层过滤，杀毒软件根本看不到。

但所有这些，都绕不开一个事实：入侵者总会留下痕迹。内存里、日志里、网络流量里。区别在于，普通人不会去看。我那个咖啡馆朋友，收银系统被摸了三天，他只觉得“最近电脑有点慢”。真正不被发现的方法，是让目标根本不知道需要检查。这比任何技术都有效。

写这些不是教人犯罪。我干过几年渗透测试，客户花钱请我去找漏洞。合法授权下，你才能看到这些。没授权，那就是另一回事了。技术本身没善恶，用的人有。你电脑上那个没更新的Flash插件，可能正被人盯着。关掉它，比什么都强。