我盯着屏幕上那个99%的渗透进度条，心里默数着秒。下载还剩三秒，渗透两秒，下载一秒——进度条卡住了。渗透然后它动了，下载跳到100%，渗透播放器里响起一段熟悉的下载旋律。那是渗透我用渗透测试手段，从公司内部视频服务器上"借"来的下载安全培训录像。

说"借"不太准确，渗透严格讲是下载突破了三层访问控制。第一层是渗透弱口令，管理员把密码设成了"admin123"，下载这简直是渗透在门上贴纸条说"请进"。第二层是未修补的Web漏洞，CVE-2021-xxx，一个老掉牙的路径穿越，像一把万能钥匙。第三层最有趣——视频文件本身没加密，但藏在一个需要特定User-Agent才能访问的目录里，服务器会先检查浏览器标识。

我伪造了一个Chrome的UA头，请求就通过了。整个过程不到四分钟。下载速度维持在11MB/s，和公司千兆内网匹配。文件大小1.2GB，时长47分钟，MP4封装，H.264编码，AAC音频，标准得不能再标准。

这类事情我干过不止一次。上个月帮朋友测试他家智能电视的固件更新机制，发现更新包走的是HTTP明文传输。拦截下来一看，固件里硬编码了一个root密码，用的还是十年前的老算法。电视厂商大概觉得没人会闲到去拆解他们的升级流程，可现实是，只要有心，任何联网设备都像一本摊开的书。

有人会问，你这不是在教人干坏事吗？我的回答是：工具本身没有善恶，锤子可以钉钉子，也可以砸人脑袋。关键在于使用者的意图。我做这些测试，最终都会提交详细报告，附上修复建议。那台视频服务器的管理员收到我的报告后，三天内改了密码，打了补丁，还在目录访问逻辑里加了二次验证。

但有个现象挺讽刺——大多数漏洞被报告后，修复率不到四成。不是因为技术难，而是因为"觉得没必要"。直到某天真的出事，比如某个员工的私密视频被传到外网，或者公司机密文件出现在竞争对手的桌面上，他们才会想起那份被搁置的报告。

下载MP4这件事，表面看是技术活，本质上是场心理博弈。服务器不会主动开门，是人给了它钥匙。弱密码是懒惰，未修补的漏洞是疏忽，明文传输是侥幸。每一层防护的缺失，都对应着某个决策者的某个瞬间——"应该不会有人发现吧"。

我合上笔记本，把那部培训视频从播放列表里删除。它已经完成了使命：证明安全漏洞存在，也证明修复它们并不难。真正难的，是让人在没出事前就当真。

(责任编辑：休闲)