周二下午三点十七分，网络实训机房的安全空调坏了。我盯着屏幕上那个不断跳动的实训红色警告图标，汗珠顺着额角滑到键盘缝隙里。报告那是网络我们第三次尝试用SQL注入绕过登录验证，前两次都撞上了参数过滤，安全这次我随手在用户名栏敲了一串`' OR 1=1 --`，实训结果后端居然真的报告把整张用户表吐了出来。

实训第七天，网络我们小组接到的安全任务是模拟一次完整的渗透测试。目标是实训一个搭在虚拟机里的简易电商网站，有注册、报告登录、网络商品搜索和订单功能。安全我负责的实训是注入点和XSS测试，搭档小林管端口扫描和弱口令爆破，还有一个人专门做日志分析——老师要求我们像真实攻击者那样，在“得手”之后还得清理痕迹。

真正动手才发现，课本上写的“输入验证”四个字在现实里是无数个漏洞的集合。那个搜索框，明明前端用JS做了长度限制，但用Burp Suite抓包改一下POST参数，后端连个类型检查都没有。我们把``塞进商品名称里，管理员后台一打开就弹窗。那一刻我忽然明白，所谓的网络安全，其实就是跟人性弱点打持久战——程序员偷懒少写一行正则，整个系统就裸奔了。

最刺激的是第三天下午。我们发现8080端口跑着一个未授权访问的Tomcat管理界面，默认口令admin/admin居然直接登录成功。小林上传了一个JSP木马，webshell连上去的那一刻，屏幕上跳出来一个系统用户列表。我盯着那个root权限的账号，后背发凉。这不是电影，这是真实存在的配置失误，而我们就这么轻易地拿下了整台服务器的控制权。

后来老师让我们做防御加固。把弱口令改掉、补上参数过滤、给管理后台加IP白名单，前后忙活了两个多小时。但奇怪的是，每修好一个漏洞，我脑子里就会冒出新的攻击思路——比如既然过滤了单引号，能不能用宽字节绕过？既然白名单限制了IP，能不能伪造X-Forwarded-For头？

实训结束那天，我们把所有工具清理干净，恢复系统快照。机房空调还是坏的，但没人抱怨。我坐在电脑前，看着自己写的那份渗透测试报告，里面记录了十七个漏洞，其中五个是高危。报告最后一行写着：“修复建议：对所有用户输入进行白名单校验，启用WAF，定期更新补丁。”

这些话听起来很官方，但真正操作过的人才知道，每一行建议背后都是实实在在被打穿过的痛苦。比如那个`OR 1=1`，如果当初开发人员在代码里多写一句`if (!is_numeric($id)) exit();`，我们就得绕好几个弯子。网络安全这行当，攻和防永远在赛跑，而跑在前面的那个人，往往只是比对手多看了一眼源代码。

走出机房时，走廊里贴着“网络安全为人民”的横幅。我掏出手机，连上公共WiFi，下意识地打开了抓包软件——然后又关掉了。有些习惯一旦养成，就再也回不去了。