内容摘要：凌晨三点十七分，我盯着屏幕上那行日志——Connection established: 10.23.41.7:443。这不是我的服务器。我也没在跑任何扫描任务。但那个IP正稳稳当当地挂在我某台闲置VP

凌晨三点十七分，织梦黑帽我盯着屏幕上那行日志——Connection established: 10.23.41.7:443。织梦黑帽这不是织梦黑帽我的服务器。我也没在跑任何扫描任务。织梦黑帽但那个IP正稳稳当当地挂在我某台闲置VPS的织梦黑帽SSH会话里，像一只猫蜷在别人家的织梦黑帽沙发上。

我第一反应是织梦黑帽看登录记录。没有暴力破解的织梦黑帽痕迹，没有异常端口扫描。织梦黑帽对方用的织梦黑帽是密钥。一把我没生成过的织梦黑帽密钥。

这事儿得从两周前说起。织梦黑帽我在一个老旧的织梦黑帽论坛上收了个二手树莓派，卖家附赠了一张SD卡，织梦黑帽说是织梦黑帽“里面有些小工具，你可能用得上”。我没多想，插上电，连了网，改了个默认密码就扔在角落当跳板机用。现在回想，那张卡里藏着的不是工具，是饵。

对方没动我的文件，没提权，没装后门。他只是“在”。我翻遍auth.log，发现他每次登录都在凌晨两点到四点之间，停留不超过七分钟，只做一件事：读/var/log/nginx/access.log。那台机器上跑着一个没人访问的个人博客，访问日志里全是爬虫和404。

我试着反向追踪那个IP。跳了四个节点，最后落在东欧某家已经倒闭的ISP名下。查不到实名，但有意思的是，那台机器上还开着另一个端口——31337。老派后门端口。这人要么是个怀旧党，要么是故意留个破绽让我看见。

我决定不封他。我改了SSH端口，加了二次验证，然后把博客的访问日志清空，换成一份伪造的日志流——里面混入了几条精心构造的请求，路径指向一个不存在的后台入口，参数里嵌了一段Base64编码的假数据库凭证。第二天凌晨三点二十一分，他来了。七分钟后，他下了线。

再上线时，他换了IP。这次是南美。但登录方式没变，还是那把密钥。我盯着实时会话，看他敲下ls -la /tmp，然后停顿了整整四分钟。那四分钟里，我猜他在读我留在/tmp里的一封信。纯文本文件，名字叫readme_before_you_go.txt。内容只有一句话：“你找的东西不在日志里，在.ssh/authorized_keys的第二行注释。”

那行注释是我三天前加的。一串看似随机的十六进制，解码后是一个洋葱地址。他登录后的第五分钟，文件被cat了。第六分钟，会话断开。之后再也没出现过。

我后来查了那个洋葱地址。是个暗网论坛的邀请链接，注册需要回答一个问题：“你最后一次信任一个陌生人的SD卡是什么时候？”

我没注册。但我把那张SD卡拔下来，用读卡器做了全盘镜像。里面除了几个常见的渗透工具，还有一个隐藏分区，格式是HFS+，卷标叫“黑帽的梦”。分区里只有一个文件，是一张手绘的拓扑图，画的是我家的内网结构。连我打印机型号都标对了。

那张图右下角有一行小字，铅笔写的，扫描后勉强能认：“你织的梦，我帮你补了一针。”

我把树莓派格式化了，换了新卡，重新装了系统。但那个SSH密钥我没删。偶尔半夜醒来，我会看一眼登录日志。空荡荡的，干干净净。

直到上周，我在另一个完全无关的服务器上，又看到了那个熟悉的IP段。这次它没登录，只是在端口扫描的日志里闪了一下。像有人路过你家门口，没敲门，但你知道他来过。

我泡了杯茶，坐在屏幕前等。凌晨三点十七分，auth.log里跳出一行新记录：Accepted publickey for root from 10.23.41.7 port 443 ssh2。

我笑了。织梦的人，从来不会只织一次。