凌晨三点十七分，暗月暗月渗透官网的渗透服务器日志里多了一条来自巴西圣保罗的访问记录。IP地址的官网归属地显示为一家废弃的汽车修理厂——这显然是个跳板。真正让我警觉的暗月，是渗透那条请求路径：/admin/backup.sql。这个路径三个月前刚被我删掉，官网连搜索引擎都没来得及收录。暗月

攻击者知道这个路径。渗透这意味着他要么读过我早期的官网代码提交记录，要么在我删掉备份文件之前就摸进了服务器。暗月我检查了登录日志，渗透最近一次成功登录是官网两周前，用的暗月是我自己的账号，来源IP是渗透我常去的咖啡馆。但那天我根本没带笔记本出门。官网

暗月渗透官网不是商业站点。它是个安全研究团队的技术博客，平时发些漏洞分析、工具评测，偶尔公开一些厂商尚未修复的0day细节。流量不大，但圈内口碑不错。正因为如此，被盯上反而合理——想打击我们的人，比想利用我们的人多。

我顺着那条日志往下挖。攻击者没有急着下载，而是先试探了几个目录。动作很轻，像是用指尖在键盘上滑行。他访问了/uploads/，又试了/images/，最后停在/docs/内部会议纪要.docx——这个文件名我从来没在任何公开页面上提过。它只存在于我同事的本地文件夹里。

问题出在内部。我那位同事上个月离职，交接时把工作笔记压缩包发到了我的企业邮箱。压缩包密码是“123456”，他图省事。但邮件服务器有自动备份，备份文件存放在一个子域名下，子域名的解析记录在公共DNS里能查到。攻击者大概是从DNS历史记录里找到的。

我花了二十分钟封掉那个子域名，改了所有相关密码，又在防火墙里加了条规则：凡是请求路径包含.sql或会议纪要的，直接拉黑IP。做完这些，我盯着屏幕上的日志文件，突然觉得有点可笑——我防住了外面的黑客，却防不住同事随手设的弱密码。

第二天早上，那个巴西IP又来了。这次它直接访问了主页，停留了四秒，然后离开。没有后续动作。我猜它是在确认我是否发现了入侵痕迹。我故意留了个假文件在原来的路径上，里面塞了一段蜜罐脚本。它没碰。

暗月渗透官网到现在还活着。但我把备份策略改了，不再用任何带语义的文件名，全部改成随机字符串。同事问为什么，我说“防搜索引擎”。他没追问。有些事，解释起来比处理起来更累。