路由器背面那张写着WiFi密码的学校便利贴，已经卷边发黄了。网络我伸手把它撕下来的安全时候，旁边机房管理员老周叹了口气：“贴了三年，隐患没人觉得有问题。排查”这是自查上周三下午的事。我们学校网络安全隐患排查小组刚进机房，报告第一眼看到的学校就是这个——无线密码明晃晃贴在设备上，连访客网络和管理后台用的网络是同一套账号。

排查从核心机房开始。安全三台交换机堆在铁皮柜里，隐患散热风扇嗡嗡响，排查柜门半开着。自查网线像挂面一样缠成一团，报告标签纸掉了一半，学校剩下一半写着“高二楼”“实验楼”这种模糊字样。老周说去年换过一批线，但没做端口映射表。这意味着如果某条线出故障，得一根根拔了试。更麻烦的是，其中一台交换机还开着默认的admin密码，登录界面甚至没改过端口号。

教学楼的情况更具体。我们随机抽了三个教室的多媒体讲台，两个能直接进入Windows桌面，密码是“123456”。第三个设了密码，但讲台抽屉里放着写密码的纸条。有个班级的智慧班牌连着校园网，系统版本是两年前的，厂商早就不提供安全更新了。我问班主任平时怎么管，她说：“能投屏就行，谁管它什么版本。”

学生这边的问题不在设备，在人。高二有个男生自己搭了热点，名字叫“免费WiFi”，实际是钓鱼页面，已经跑了四天。他说只是想看看有多少人会上当，结果连上了十七台设备，其中三台是老师的手机。我们找他谈话时，他反问：“学校WiFi密码全校都知道，跟没有有什么区别？”这话不好接。

监控系统是另一个口子。全校一百多个摄像头，录像存储服务器放在教务处隔壁的小房间里，门没锁。登录账号是默认的admin，密码是八个8。更关键的是，这套系统能直接访问校园网核心区域，等于把监控和办公网络串在了一起。我们试着从监控主机ping了一下财务室的电脑，通了。

排查到第三天，发现的问题列了三十多条。有些能当场改——比如撕掉密码便利贴、改掉默认口令、把监控服务器挪到独立VLAN。有些得等——比如换掉老旧交换机、给智慧班牌统一升级系统、把钓鱼热点的学生拉进网络安全社团当反面教材。老周后来跟我说，他其实早就觉得哪里不对，但“一直没人问，我也就没提”。

现在机房那台交换机的密码换了，便利贴换成了二维码，扫码才能看临时密码。监控室加了门禁，虽然只是最便宜的那种密码锁。那个搭钓鱼热点的男生，这周开始在社团活动里教别人怎么识别假WiFi。事情不算大，但至少有人开始问了。