电脑入侵教程

去年冬天，电脑我邻居老张的入侵电脑突然自己打开了摄像头。他当时正穿着秋裤在客厅吃泡面，教程屏幕右下角弹出个对话框：“你家的电脑路由器密码是12345678吧？”老张吓得差点把叉子捅进喉咙。后来查出来，入侵是教程有人用他三年前注册的某论坛账号撞库成功了——那论坛早倒闭了，但数据库还在黑市流通。电脑

这就是入侵最典型的电脑入侵。不需要电影里那种噼里啪啦敲代码的教程酷炫操作，多数时候，电脑攻击者只是入侵比你更了解你自己留下的数字垃圾。

密码这东西，教程比你想象的电脑更脆弱

我见过一个网吧网管，给所有机器设的入侵密码是“admin888”。他说这样好记。教程结果某天整个网吧的吃鸡账号全被洗了。攻击者甚至没用什么工具，就是坐在角落开了台机器，试了三次就进去了。弱密码的问题喊了二十年，但每年全球最烂密码排行榜上，“123456”依然稳居前三。更麻烦的是撞库——你在A网站用的密码，B网站、C网站大概率也一样。黑客拿到一个泄露库，就能撬开几十个账户。

有个做安全的朋友给我演示过：他花80块钱买了个“社工库”查询权限，输入我的常用邮箱，直接跳出三个历史密码。其中两个我至今还在某些地方用着。那天我花了整个下午改密码，改到后来自己都记混了。

钓鱼攻击：骗你点一下就够了

上个月我收到封邮件，发件人显示“公司IT部”，说邮箱容量已满，点链接扩容。链接点进去是个仿得极像的登录页，连公司logo的像素锯齿都一模一样。我故意输了假密码，页面转了三秒，跳回真邮箱登录页——做得真够细的。这种攻击不需要技术漏洞，利用的是你看见“IT部”三个字就条件反射点确认的习惯。

更隐蔽的是U盘攻击。你在停车场捡到个U盘，好奇插进电脑看看里面有什么。Windows的自动播放功能早关了，但U盘里可能有个伪装成“财务部工资表.xlsx”的可执行文件。双击的瞬间，后门就装好了。我认识个做渗透测试的，他包里常备十几个U盘，印着不同公司的logo，扔在目标公司楼下抽烟区。捡走插上电脑的比例，他说“高得让人睡不着觉”。

路由器才是后门大户

很多人不知道，你家里那个闪着蓝光的小盒子，可能比你的电脑更危险。默认管理员密码是admin/admin，固件三年没更新，远程管理端口开着。攻击者进去之后，能改DNS设置——你输入“taobao.com”，实际跳转到的是个一模一样的假淘宝。你输账号密码，他后台就收到了。

我自己的路由器就中过招。有段时间家里网速特别慢，查了半天才发现DNS被改成了个陌生IP。谁干的？不知道。什么时候干的？可能是某次我图省事没改默认密码的时候。后来我刷了开源固件，关了远程管理，密码设了32位随机字符串。麻烦是麻烦，但总比被人当肉鸡强。

物理接触永远是最狠的

说个真事。某公司怀疑员工泄密，查了三个月网络日志没结果。后来在会议室桌子底下摸出个键盘记录器——指甲盖大小，插在键盘和主机之间。谁坐那个位置打字，所有按键都存进它自带的闪存里。攻击者只需要趁保洁打扫时溜进来取走，换一个新的。全程不需要网络，不需要密码，甚至不需要通电。

电脑入侵说到底，攻的是人，不是机器。你懒、你好奇、你嫌麻烦、你相信“应该没事吧”——这些才是真正的漏洞。补丁可以自动更新，防火墙可以买企业级，但人的习惯，得自己一点点拧过来。

老张后来把路由器密码改成了句诗，摄像头贴了块胶布。他说现在每次看到那胶布，就想起那碗泡面。我觉得这挺好，恐惧有时候比教程管用。