去年某高校教务处一台老旧服务器被拖库，校园两万多名学生的网络身份证号和家庭住址在暗网打包出售。起因简单得可笑——那台机器还在跑已停止维护的安全CentOS 6，SSH密码是测评“admin123”。这事之后，校园我们给三所院校做了渗透测试，网络发现一个共性：多数校园网的安全安全防线，其实卡在“没人真正管”和“谁都能碰”之间。测评

校园网络安全测评，校园不是网络装个防火墙、扫一遍漏洞就完事。安全它得先摸清资产。测评很多学校连自己有多少个公网IP、校园多少台对外服务设备都说不清。网络我们习惯先跑一遍主动扫描，安全再跟网络中心要拓扑图，两边对不上号的设备，往往就是风险点。某次在一所职院，扫描发现一个开放8080端口的IP，归属不明，登上去一看是某实验室自己搭的选课辅助工具，数据库账号密码硬编码在JS文件里。这种“影子资产”在校园里太常见了。

测评的核心动作分三块。第一是漏洞验证，别只看扫描器报告。某校WAF天天报警，但真拿sqlmap跑一遍，发现注入点早被过滤了，反倒是后台一个文件上传接口，只校验了Content-Type，改个包就能传webshell。第二是配置核查，比如Windows域控的组策略是否允许空密码、Linux的sudo权限是否过滥。第三是弱口令，这事最土也最有效。我们做过统计，校园网里用“学校缩写+年份”当密码的设备，占比超过三成。

无线网是另一个重灾区。很多学校还在用WPA2-PSK，密码是“88888888”。更麻烦的是访客网络和教学网络没做隔离，学生连上Guest WiFi，扫一下内网就能摸到教务系统。有次我们在某大学图书馆，用树莓派搭了个伪AP，十分钟钓到四十多个学生账号——他们自动连接了同名SSID。这不是技术多高明，是管理没跟上。

测评报告别写成天书。给校领导看的那版，得用“如果这里被攻破，可能导致选课系统瘫痪两天”这种话。给技术员的那版，才写CVE编号和修复命令。我们习惯附一张“风险热力图”，红色区域标出核心业务系统与互联网的暴露路径。某次评审会上，网络中心主任指着图说：“原来这个老OA还开着8080映射，我都忘了。”

修复建议要分优先级。别一上来就要求全校上零信任，先干三件事：关掉不必要的公网映射、给所有后台加双因素认证、把弱口令设备清单拉出来逐个改。某学院照做之后，三个月内扫描到的高危漏洞从47个降到6个。剩下的6个，全是老旧业务系统，厂商早就不维护了。这时候只能上虚拟补丁或者网络层访问控制，别硬修。

最后说个观察。校园网安全测评最难的，不是技术，是协调。教务处怕影响选课，图书馆怕断网，实验室嫌麻烦。我们通常先拿一个非核心系统做试点，把攻击路径和修复效果演示一遍，再推全校。某次演示时，我们当着馆长的面，用普通学生账号登进图书馆后台，改了一条借阅规则。他当场打电话给技术员：“按他们说的改。”

测评不是终点。做完那次三校联测后，我们留了一套轻量级监控脚本，每周自动跑一次资产比对和弱口令检测。半年后回访，其中一所学校主动把脚本接进了他们的运维平台。这比任何报告都管用。