内容摘要：上周三凌晨两点十七分，我的手机在床头柜上疯狂震动。监控系统推送了十二条告警——公司一台面向公网的CRM服务器，被人用弱口令撞库成功。对方已经拖走了近三年的客户合同数据。 我披上外套冲到书房，打开笔记本

上周三凌晨两点十七分，网络我的漏洞手机在床头柜上疯狂震动。监控系统推送了十二条告警——公司一台面向公网的排查CRM服务器，被人用弱口令撞库成功。修复对方已经拖走了近三年的网络客户合同数据。

我披上外套冲到书房，漏洞打开笔记本连上VPN。排查日志显示攻击者从凌晨一点开始，修复用同一个密码组合尝试了四千多次。网络那个密码是漏洞“Admin@2023”，去年初换的排查。我盯着屏幕，修复后背发凉——这密码是网络我批的。

网络漏洞排查这事儿，漏洞大部分时候不是排查技术问题，是心态问题。你总觉得自己那点防御够了，防火墙开着，杀毒软件更新着，密码复杂度也满足要求。但漏洞就藏在那些“应该没问题”的角落里。比如那台CRM服务器，其实半年前就有安全通告说它的Web框架存在反序列化漏洞，但当时业务部门说“先上线，后面补”，后面就一直没补上。

排查的第一步不是扫端口，是先翻自己的“历史欠账”。把过去一年所有系统变更记录、补丁安装记录、安全通告处理清单拉出来，逐条对。你会发现至少有三分之一的已知风险点，压根没人跟进。我们那次排查，光是从邮件里翻出三份被遗忘的漏洞报告，就花了两个小时。

修复的过程更磨人。你改了一个密码，可能就得通知所有关联系统改对接配置；你补了一个框架漏洞，可能就得重启服务，业务方立刻在群里喊“怎么又断线了”。那天凌晨我一边打补丁，一边给运维发消息，让他把CRM的流量先切到备用节点。结果备用节点本身也有个中危漏洞——证书过期了，SSL握手直接失败。

真正的修复不是“打上补丁”就完事。你得验证，得回滚预案，得确认修复没引入新问题。我见过太多人，用脚本扫一遍，把漏洞列表导出来，然后批量点击“修复”，第二天该被攻破还是被攻破。漏洞修复的本质是“消除攻击路径”，不是“消除告警记录”。你封了那个弱口令，还得确认对方有没有留后门——检查计划任务、启动项、注册表，甚至看看有没有新增的SSH密钥。

那次事件最终处理了三天。我们封了攻击IP，重置了所有相关账号，把CRM的数据库做了全量备份，然后逐条核查被拖走的数据范围。最后发现，对方其实只拖走了部分历史合同，最新的数据因为做了字段级加密，他拿到也是一堆乱码。这算不幸中的万幸。

事后复盘，最让我感慨的不是技术细节，而是那个“Admin@2023”密码。它是我当时图省事，为了满足“三个月改一次密码”的合规要求，随手从键盘上敲的。现在想想，合规要求的本意是让你别用弱密码，结果你反而因为要频繁换，选了个更好记的。

网络漏洞排查，说白了就是跟自己较劲。你得假设自己已经被攻破了，然后去找痕迹。别信那些“我们的系统很安全”的鬼话——说这话的人，通常连日志都没看过。我现在的习惯是，每个月挑一个周末，凌晨三点起来，假装自己是黑客，从外网扫一遍自己的端口。那种感觉，比看任何安全报告都直观。

修复完那天早上，我关掉笔记本，窗外天已经亮了。楼下早餐摊的油条刚出锅。我给自己倒了杯凉白开，心想：下个月还得再来一次。