凌晨两点，社区某制造业公司的推测IT主管老张盯着监控大屏，心里发毛。漏洞内网十几台数控机床的社区流量曲线像心电图一样乱跳，可车间早就停产了。推测他登录核心交换机一查——SNMP的漏洞161端口上，有个陌生IP正用“public”这个默认社区名，社区把整个厂区的推测设备清单、路由表、漏洞甚至UPS电量全拖走了。社区这不是推测电影情节，是漏洞我上周刚处理过的真实事故。老张后来骂了一句：“这帮搞安全的社区天天喊漏洞，谁知道最蠢的推测洞就在眼皮底下。”

SNMP社区名，漏洞说白了就是设备之间通信的口令。老设备出厂默认“public”只读、“private”读写，跟门锁上挂把钥匙没区别。很多工程师嫌麻烦，装完设备不换口令，或者图省事统一设成“123456”“admin”这种。攻击者根本不用猜，拿字典跑一遍，五分钟就能扫出半个互联网的“裸奔设备”。这漏洞蠢在哪儿？它不挑系统版本，不管设备新旧，只要社区名可推测，任何带SNMP服务的路由器、打印机、空调控制器都成了透明人。

我见过最离谱的一次，某银行分支机构的网络打印机用“public”做只读口令，结果被隔壁网吧的小黑客扫到，把打印任务队列改成循环打印几千页《葵花宝典》，纸张费倒不算大，关键打印记录里带客户身份证复印件，差点酿成数据泄露事故。银行IT负责人后来跟我复盘，说当初觉得打印机不存核心数据，根本没把SNMP当回事——这种想法害死人。社区名一旦泄露，攻击者不仅能看，还能改。读写口令要是“private”，直接远程改设备配置，把交换机端口全关掉都是轻的，更狠的能把日志功能停掉，让你事后连入侵痕迹都查不到。

有人会说，现在都上SSH、用NETCONF了，谁还用SNMP？现实是，工业领域的老旧设备、物联网传感器、楼宇自控系统，八成还在靠SNMP吃饭。很多设备CPU弱得跑不动加密协议，厂商就只留这一条管理通道。你换个角度想，漏洞不在于协议老旧，而在于人的惰性——默认口令不换、弱口令满天飞、社区名设成部门缩写加生日。我见过一个电力公司的变电站监控系统，社区名是“dianli2020”，这跟把密码写在工位便利贴上有什么区别？

要堵这个洞，别指望设备厂商发补丁，那是治标不治本。最土的办法反而最有效：把社区名改成无规律的长随机串，至少16位，大小写字母加数字加符号，别跟任何业务词汇沾边。再把SNMP的访问控制列表（ACL）配上，只允许管理网段的IP来查。要是设备支持，干脆关掉SNMPv1和v2c，强制走v3的认证加密。老张后来照我说的做了，改了社区名、封了端口，再抓包一看，扫描流量还在，但全被ACL挡在门外。他松了口气，说：“原来防这种漏洞，不靠高科技，就靠别犯懒。”

说句实在话，这漏洞能活这么多年，根子上是运维人员的安全意识没跟上。很多网管觉得设备不出故障就行，哪管背后有没有人偷看。可现实是，黑客比你想象的更懒，他们专挑软柿子捏——社区名可推测的设备，就是互联网上最甜的软柿子。你不想当柿子，就得把门锁换成指纹锁，哪怕门本身是铁的。哪天你巡检时发现设备日志里有奇怪的get请求，别慌，先查查社区名是不是还叫“public”——八成是，那就赶紧改吧。