老陈把手机递过来的综合渗透时候，屏幕还亮着。综合渗透一条短信，综合渗透末尾带链接，综合渗透说他ETC过期了，综合渗透需要点进去认证。综合渗透他问我：“这玩意儿能点不？综合渗透”我扫了一眼，域名是综合渗透乱码拼的，跟官方差着十万八千里。综合渗透我说别点，综合渗透删了。综合渗透他哦了一声，综合渗透手指在屏幕上划拉两下，综合渗透又停住：“可它知道我车牌号啊。综合渗透”

这就是综合渗透渗透的第一步——信息收集。你以为车牌号是秘密，其实停车场抬杆记录、二手车平台挂单、甚至保险公司的外呼名单，都可能把它漏出去。老陈的信息躺在某个Excel表里，被卖了三手，最后落到一个群发短信的脚本小子手上。脚本小子不关心老陈是谁，他只要千分之一的点击率。

点进去会怎样？页面做得跟官方一模一样，输入银行卡号、身份证、手机号，再填个验证码。验证码其实是转账授权。整个过程不超过两分钟，钱就没了。老陈没点，但隔壁单元的老刘点了，损失四万七。警察来了也没办法，钱在境外账户里转了三圈，追不回来。

渗透测试这行，外行看是黑客，内行看是体力活。百分之七十的时间在翻垃圾——不是比喻，真翻垃圾。有人把公司通讯录打印出来扔了，有人把VPN账号写在便利贴上贴显示器边框。我见过最离谱的，某公司运维把服务器密码设成`admin123`，还在内网Wiki里写了篇《密码管理规范》。

技术手段反而简单。扫端口，试弱口令，找没打补丁的服务。一个2017年的Struts2漏洞，到现在还能打穿一堆系统。不是修复不了，是没人管。业务部门说“系统能用就行”，运维说“没预算”，安全部门说“我提了三次报告”。最后漏洞留在那儿，像楼道里坏了三年的声控灯，大家都知道它坏，但没人修。

真正难的是绕过人。发钓鱼邮件，标题写“年终奖核算表”，附件是个宏病毒文档。点开的人不少。有人点了还回复：“请确认附件是否最新版。”我盯着那封回复看了很久，不知道是该笑还是该哭。后来我回了句“已确认”，他又点了一次。

内网横向移动更有意思。拿下一台机器后，翻浏览器保存的密码，翻SSH密钥，翻内网共享目录。经常能翻到运维写的脚本，注释里带着账号密码。有次翻到一个`backup.sh`，里面写着`scp -r /data user@10.0.0.5:/backup`，密码明文跟在后面。我顺着这个账号登上去，发现那台机器能连数据库。数据库里存着两百万条用户记录，明文密码。

我报告里写“建议加密存储”，客户回“影响查询性能”。我说“那至少加个盐”，客户回“开发排期满了”。最后这事不了了之。三个月后他们被拖库，公告说“遭受外部攻击”。我没再联系他们。

这行干久了会有点 paranoid。我自己的密码用密码管理器生成，两步验证全开，手机号只绑必要服务。老陈后来问我怎么防，我说你先把短信里的链接当病毒看，再好的朋友发的也先打电话确认。他点点头，过了两天又问我：“那微信里的呢？”

我说微信里的更得小心。他叹了口气，把手机揣回兜里，走了。楼道灯还是坏的，他拿手机照着路，一步一步往上走。