万能验证码自动输入

去年冬天，验证我在一个老旧小区帮亲戚处理宽带故障。码自维修师傅上门后没急着查线路，动输而是验证掏出手机打开一个叫“万能验证码”的App，对着光猫背面扫了一下，码自屏幕上立刻跳出一串六位数字。动输他输了进去，验证后台权限开了。码自整个过程不到十秒。动输我问他这是验证什么原理，他嘿嘿一笑：“就是码自懒人办法，省得翻说明书找默认密码。动输”

这事让我想起自己第一次接触这类工具的验证场景。那是码自三年前，公司采购了一批二手交换机，动输每台都有独立的管理密码。IT主管丢给我一个Excel表格，里面密密麻麻记录着几十个设备的初始验证码。我挨个登录、改密码、再登记，折腾了整整一下午。后来他看不过去，发来一个浏览器插件，说：“试试这个，能自动填。”

所谓“万能验证码自动输入”，本质上是把常见设备的默认密码、出厂PIN码、甚至某些平台通用的短信验证码模板，整合进一个数据库。用户触发输入框时，工具通过OCR识别或键盘钩子抓取当前界面，匹配对应规则，自动填充。听起来像黑客电影里的桥段，实际上很多运维人员早就在用。

我见过最夸张的案例，是一个做智能家居安装的师傅。他手机里存了十几个品牌的默认管理员密码，从海康威视摄像头到小米网关，再到某些杂牌智能门锁。每次上门调试，他根本不问客户要密码，直接调出工具扫设备标签上的MAC地址，三秒匹配成功。“客户自己都忘了设过什么密码，”他说，“我要是等他们翻箱倒柜找说明书，一天只能干两单。”

但这里有个灰色地带。去年某地警方破获一起非法入侵摄像头案，嫌疑人用的就是类似工具。他专门扫描小区里未改初始密码的设备，批量填入默认验证码，然后实时观看画面。被抓时，他手机里存着三百多个家庭的监控视角。工具本身没有善恶，可一旦落入错误的手里，默认密码就成了敞开的大门。

我自己也写过一个简易版本。用Python加selenium，针对公司内部测试环境，自动填充固定的短信验证码。代码不到五十行，跑起来很顺畅。后来我把它删了。原因很简单：有一次测试环境迁移，验证码规则变了，工具还在傻乎乎地填旧格式，连续锁了三个账号。自动化带来的便利，往往伴随着对异常情况的迟钝。

现在市面上有些“万能验证码”App，打着“一键登录”“免密进入”的旗号，实际上是在后台收集用户输入的验证码。你以为是工具在帮你填，其实是你在帮它喂数据。我拆解过一个下载量过百万的APK，发现它会将每次匹配失败的验证码上传到服务器，用来扩充自己的数据库。免费的东西，代价往往藏在看不见的地方。

回到那个维修师傅。他后来告诉我，自己只对老旧的、客户明确表示“懒得管”的设备用这招。新设备一律手动设置，还会提醒客户改掉默认密码。“工具是死的，人是活的，”他把手机揣回兜里，“你图省事，别人就图你省事。”

这句话我记到现在。万能验证码自动输入，说到底是一场效率与安全的拉扯。它像一把万能钥匙，能打开很多门，但你永远不知道门后站着的是主人还是贼。用不用，怎么用，取决于你对自己行为的边界有多清楚。