凌晨三点，批量扫描我盯着屏幕上的批量扫描进度条，它像一条便秘的批量扫描蛇，半天挪不动一格。批量扫描这已经是批量扫描第三批了，前两批一共扫了四千多个IP，批量扫描结果全是批量扫描些开了80端口的空壳子。真正有价值的批量扫描，是批量扫描那个藏在C段角落里的老式打印机——HP LaserJet 1020，居然开着9100端口，批量扫描固件版本还停留在2009年。批量扫描

批量扫描这事儿，批量扫描说白了就是批量扫描碰运气。你写个脚本，批量扫描扔出去，批量扫描然后等着。大部分时候回来的都是噪音，偶尔能捡到一两个漏网之鱼。我见过有人用Nmap扫整个B段，跑了一整夜，最后只发现一台暴露了SNMP的交换机，community string还是默认的"public"。那哥们儿兴奋得跟中了彩票似的，其实那台机器早就被三个不同的人轮番扫过了，日志里全是别人留下的痕迹。

工具倒是越来越傻瓜化了。Masscan号称能把整个互联网扫一遍，Zmap更是夸张，说是45分钟就能扫完IPv4全段。可问题从来不在速度上。你扫得再快，也得有东西可扫。现在的人学聪明了，知道把SSH换到非标准端口，知道关掉不必要的服务，甚至有人专门放几台蜜罐在那儿钓鱼。我上次就栽过一回，扫到一台开着3389的机器，远程桌面连上去，桌面壁纸写着："你已经进入监控区域，请立即离开。"

真正让我觉得有意思的，是那些被遗忘的设备。不是服务器，不是路由器，而是些你想不到的东西——楼宇自控系统、医疗影像设备、甚至某个工厂的PLC控制器。这些东西常年在线，固件从不更新，密码永远是admin/admin。它们不像服务器那样显眼，但一旦被控制，造成的破坏却可能更大。前年有个水处理厂被黑，氯气阀门被远程打开，要不是值班员反应快，整个片区的水都得被污染。

批量扫描本质上是在跟时间赛跑。漏洞公布出来，到补丁普及，中间那段窗口期就是黄金时间。你扫得越勤，越可能在这些设备还裸奔的时候发现它们。但这也意味着，你永远在跟其他人竞争——那些跟你干同样事情的人，只不过他们可能怀揣着不同的目的。我认识一个做安全审计的老哥，他每天凌晨四点自动跑一轮扫描，就为了赶在黑客上班之前发现新的暴露面。他说这叫"抢跑"，我觉得更像是在垃圾堆里翻金子的拾荒者。

凌晨五点十七分，进度条终于走完了。这一轮扫出了三个新的开放端口，其中两个是某品牌网络摄像头的RTSP流，密码还是出厂设置。我截了几帧画面，看到的是某个仓库的监控视角，货架上堆满了纸箱，角落里停着一辆叉车。画面很安静，甚至有点无聊。但我知道，如果换个时间来看，这里可能正上演着什么不该被看到的事情。批量扫描就是这样，你永远不知道下一秒会撞见什么，但正是这种未知，让人上瘾。

(责任编辑：娱乐)