凌晨两点十七分，渗透日记我盯着屏幕上的渗透日记漏洞报告，第七次确认那个SQL注入点还在。渗透日记对方运维大概睡着了，渗透日记防火墙规则像块千疮百孔的渗透日记破布，我甚至能看见数据包里那些明晃晃的渗透日记请求在嘲笑他们的粗心。

渗透测试这事儿，渗透日记说白了就是渗透日记跟人玩心理战。你以为在跟代码较劲？渗透日记错了，是渗透日记在跟写代码的人较劲。今晚这个目标系统，渗透日记用的渗透日记是三年前的老框架，补丁没打全，渗透日记参数过滤形同虚设——我猜他们技术负责人八成觉得"内网系统没人看得上"。渗透日记这种傲慢，渗透日记我见得多了。

先绕WAF。那玩意儿配置得挺唬人，规则库更新到去年，但绕过手法就那几样。我试了大小写混合，不行；注释符分割，不行；最后用了个编码转换，把payload塞进畸形请求里，居然就这么溜进去了。有时候你不得不承认，安全设备的运维人员跟攻击者之间的差距，就像健身房教练跟特种兵的差距——看着都壮，真打起来完全不是一回事。

拿到数据库权限的时候，我反而有点索然无味。后台管理员的密码哈希是MD5，没加盐，彩虹表里直接就查到了明文。密码是"wang123456"，我盯着这串字符笑了半天。就这？就这水平还敢把客户资料存这儿？顺手翻了下操作日志，发现他们上个季度被勒索病毒搞瘫过一次，结果恢复完连密码策略都没改——人呐，记吃不记打。

真正让我后背发凉的，是那个备份目录。里面躺着三年前的数据库导出文件，包含了十几万条用户信息，手机号、身份证号、家庭住址，全明文躺着。我甚至能看见某个客户在2019年买的理财产品金额。这些数据要是落到黑产手里，诈骗电话能精准到让你怀疑人生。

凌晨四点，我写完了报告，把漏洞分级标成红色紧急。但说实话，改不改是他们的事。我见过太多甲方拿着报告说"好好好，马上改"，然后三个月后漏洞还在那儿，像块狗皮膏药。有时候我会想，我们做渗透的，到底是在帮他们堵漏洞，还是在帮他们证明自己有多蠢？

天亮前我关掉电脑，窗户外头环卫工已经开始扫街了。昨晚那些数据还在我脑子里晃悠，十几万条个人信息，就躺在那台脆弱得不堪一击的服务器上。我抽了根烟，决定明天把报告里那条"建议"加粗——"请把你们的安全意识，至少提到及格线以上"。虽然我知道，大概率还是白写。