渗透吧

老张把烟头摁灭在窗台上，渗透指着楼下那排梧桐树说：“看见没？渗透第三棵，树皮颜色不对。渗透”

我眯着眼看了半天。渗透八月下午的渗透阳光把树皮照得发白，那棵梧桐确实比旁边的渗透浅了一个色号，像被谁用砂纸打磨过。渗透老张说那是渗透他上周做的测试——用稀释的草酸刷了半米高的树干，观察渗透效果。渗透“做渗透测试跟这个一个道理，渗透你得先找到最薄弱的渗透那个点，然后看它到底能渗多深。渗透”

他管这个叫“物理渗透”。渗透老张以前在化工研究所看大门，渗透后来迷上了网络安全，渗透硬是自学了三年，现在给几家小公司做渗透测试。他没什么证书，但有一堆稀奇古怪的比喻。

“很多人以为渗透测试就是拿工具扫一扫，跑个SQL注入，爆个弱口令。”老张从兜里掏出个皱巴巴的笔记本，上面画满了各种箭头和方框，“那叫扫描，不叫渗透。渗透是得进去，得摸到东西，得证明你能造成多大破坏。”

上个月他接了个活，给一家做外贸的电商做测试。对方运维拍胸脯说系统是银行级别的，WAF、IPS、堡垒机全上了。老张没碰那些，他花了三天时间翻这家公司的招聘信息、员工领英、GitHub仓库，最后在一个离职半年的程序员博客里找到了一串测试环境的API密钥。那密钥没失效，测试环境跟生产环境共用一套用户数据库。

“我登进去的时候手都在抖。”老张说，“两万三千条客户记录，姓名、电话、地址、订单金额，明文存着。我截了个图就退出来了，没动任何数据。”

他后来把报告发过去，对方老板不信，说测试环境是隔离的。老张让他自己登那个API试试，老板沉默了半分钟，说了句“我操”。

渗透这事有意思的地方在于，它不光是技术问题。老张给我看他手机里的照片：一张是某公司前台，贴着“禁止拍照”的牌子，但旁边白板上写着WiFi密码，他拍下来了；另一张是消防通道的门禁读卡器，型号老旧，他查了手册，默认密码没改。“你花几万块买防火墙，结果门卫大爷的电脑上插着个来路不明的U盘，你说这防谁呢？”

他最近在琢磨人的渗透。给员工发钓鱼邮件太老套了，他试过在招聘网站冒充猎头，给目标公司的技术总监发私信，说有个“年薪翻倍的机会”，附上一个需要填详细工作经历的链接。三天后，他拿到了那个总监的完整简历，包括他负责过的所有项目名称、技术栈、团队规模。“这些信息够我画出他们整个内网拓扑了。”

我问老张，做这行是不是得特别懂技术。他摇头：“技术占四成，剩下六成是耐心和想象力。你得把自己当成那家公司的人，想他们怎么偷懒，怎么图省事，怎么把不该放一起的东西放一起。”

他笔记本最后一页写了句话，字歪歪扭扭的：“渗透不是攻破，是证明它本来就有洞。”

昨天他又接了个新单子，一家做智能门锁的。他让我猜他第一步干什么。我说扫端口？他笑了：“我先去他们官网下了份产品说明书，PDF的，用工具把里面嵌入的图片提取出来。有一张宣传图没压缩，背景里隐约能看到他们内网测试平台的登录界面截图。用户名是admin，密码栏是空的——但旁边有个便签，虽然模糊，我放大之后认出来是‘Lock@2023’。”

“你看，”他把烟又点上了，“门锁还没碰呢，钥匙已经到手了。”

窗外那棵梧桐的树皮上，草酸渗透的痕迹已经淡了，但仔细看还是能看出来——那半米高的地方，颜色永远跟别处不一样了。