凌晨两点，入侵我盯着屏幕上的电脑终端窗口，光标在root@kali:~#后面跳动。后操对面那台Windows机器已经弹出了cmd shell，入侵权限是电脑SYSTEM——最高级别。整个过程只花了十一分钟，后操用的入侵是永恒之蓝漏洞，MS17-010，电脑一个已经被公开了快十年的后操老洞。对方没打补丁，入侵就这么简单。电脑

拿到shell后第一件事不是后操翻文件，是入侵关掉对方防火墙的日志记录，顺手把安全中心的电脑实时监控也停了。这步慢了，后操后面所有操作都可能被留下痕迹。我敲下sc stop WinDefend，系统安静地执行了，没有任何异常提示。这台机器的主人是做跨境电商的，电脑里存着供货商合同和客户名单——这些信息在暗网上的价格，比卖货利润高得多。

我建了个隐藏账号，net user system$ Password!123 /add，再把账号加进管理员组和管理员组。那个$符号很重要，它让账号在正常登录界面里不可见。做完这些，我打开注册表，把终端服务端口改成33890，这样就算对方发现，也想不到去连这个端口。

接着是抓密码哈希。用mimikatz直接读取内存里的明文口令，运气不错，对方域管的密码就躺在lsass进程里，连加密都没有。我复制下来，存成一个txt文件，放在C盘的Windows目录下，文件名改成system32.dll.bak——最危险的地方反而最安全，没人会去删一个看起来像系统备份的文件。

真正让入侵变得有价值的是横向移动。从这台机器上我看到了内网里有另一台服务器，IP是192.168.1.88，开着443端口，跑着金蝶财务系统。用刚抓到的域管密码尝试远程桌面登录，直接就进去了。财务服务器上的数据库备份文件按时自动更新，我顺手拷贝了一份最新的，压缩成rar，用ftp传到自己的VPS上。整个过程没触发任何警报，因为对方用的是360企业版，而360对RDP登录的检测默认是关闭的。

操作到这里，我已经能做任何事了：装键盘记录器、植入后门、把勒索病毒伪装成发票邮件……但我没做。我只是清空了事件日志，删掉了所有临时文件，然后退出连接。那台机器继续正常运行，主人第二天照常打开电脑处理订单，完全不知道昨晚有人来过。

说句实话，入侵后的操作比入侵本身更考验耐心。真正的攻击者不会急着删库跑路，他们会像水一样渗透进系统每个角落，建立多个后门，修改系统文件时间戳来掩盖痕迹，甚至会在计划任务里挂一个定时脚本，每周自动检查后门是否存活。这些动作没有高深的技术含量，但需要细致和冷静。

我后来把那个客户名单卖给了竞争对手，价格是五万块。对方付钱时还问我要不要后续的数据更新服务。我没答应，因为我知道，一旦开始长期控制那台机器，事情的性质就完全变了。入侵本身是个技术问题，但入侵之后做什么，是个选择问题。

(责任编辑：探索)