2023年冬天，渗透某中型企业的攻击IT主管老张接到一通电话。对方自称是中被直接总部的IT支持，说需要远程协助处理一个"紧急的黑客VPN配置问题"。老张没多想，利用给了对方一个临时账号。渗透二十分钟后，攻击攻击者用这个账号登录了内网，中被直接横向移动到了财务系统，黑客转走了两百多万。利用

这不是渗透什么高级持续性威胁。攻击者没用什么零日漏洞，攻击没写一行恶意代码。中被直接他们只是黑客打了一通电话。

渗透测试行业里有个老笑话：再贵的利用防火墙也拦不住一个愿意给密码的员工。这话听着像调侃，但翻翻近几年的真实攻击事件，你会发现它几乎就是事实描述。

人的接口，比API更好用

黑客圈有句话叫"打点不如打人"。技术漏洞有补丁，人的漏洞没有。钓鱼邮件是最经典的入口，但现在的钓鱼早就不是"尼日利亚王子"那种粗劣套路了。

我见过一个案例：攻击者先花两周时间研究目标公司某个部门经理的社交媒体，摸清了他的写作习惯、常用语气、甚至他最近在抱怨什么项目。然后冒充他的直属领导发了一封邮件，内容是关于那个"让人头疼的项目"的讨论，附件是一个看起来像项目文档的链接。这位经理点开了。没有怀疑。因为一切细节都对得上。

这种攻击的成功率，比暴力破解密码高几个数量级。原因很简单——密码可以设复杂，但人对"合理"的判断是自动的、不设防的。

供应链：你信任的东西正在出卖你

2020年SolarWinds事件，攻击者没去攻美国政府部门，而是攻了他们的IT管理软件供应商。一次入侵，几千个下游客户全部中招。这比逐个突破高效太多了。

中小企业尤其容易在这上面翻车。你用的某个免费插件、某个外包团队提供的代码库、某个第三方API接口——任何一个环节被污染，攻击者就能绕过你所有的边界防御。因为这些东西本来就在你的信任列表里。

有个做电商的朋友跟我聊过，他们的支付页面被植入了一段几KB的脚本，偷取用户的信用卡信息。查了半天，发现是某个前端依赖包被投毒了。那个包在npm上有几万次周下载量，没人审查过它的源码。

配置错误：门没锁，不是锁坏了

云服务把这个问题放大了。S3存储桶权限设成public、数据库端口对公网开放、默认密码没改——这些听起来很低级，但每天都在发生。

我自己的观察是：越是"临时"的东西越危险。临时开的调试端口、临时创建的测试账号、临时放宽的权限策略。项目上线了，这些"临时"没人清理。攻击者扫一遍IP段，几分钟就能找到一堆敞开的门。

Shodan这类搜索引擎让这件事变得极其简单。你不需要任何攻击技巧，输入关键词，就能看到全球范围内配置不当的设备和服务。有些甚至不需要认证就能直接读写数据。

攻击者的算盘

从攻击者视角看，选择入口的逻辑很务实：找成本最低、最不容易被发现的那条路。技术漏洞需要挖掘、需要绕过防护、可能触发告警。但一个被社工的员工、一个没清理的测试接口、一个被投毒的依赖包——这些东西不会触发任何安全设备。

防守方花大量预算买设备、建SOC、搞威胁情报。攻击方花一个下午写一封精准的钓鱼邮件。投入产出比完全不对等。

这不是说技术防御没用。而是说，当你把所有注意力放在网络边界和终端上时，那些"非技术"的入口反而成了最薄弱的一环。攻击者不傻，他们知道该往哪儿走。