2023年冬天，黑客一个朋友的入侵公司被勒索软件锁死了全部财务数据。对方开价40个比特币，黑客限时72小时。入侵他打电话给我，黑客声音都在抖。入侵我问他最近有没有人点过什么奇怪的黑客邮件附件，他沉默了几秒，入侵说前台小姑娘收到过一封“发票确认”的黑客邮件，点开是入侵个Excel，打开后什么也没发生。黑客就这个“什么也没发生”，入侵才是黑客真正开始的地方。

黑客入侵从来不是入侵电影里那种敲几行代码、屏幕狂闪绿字、黑客三秒攻破五角大楼。真实的入侵更像小偷踩点——先看哪扇窗没关，再决定要不要翻进去。整个过程通常分几步走，每一步都平淡得让人放松警惕。

踩点：把你的信息当拼图玩

攻击者动手前会花大量时间收集目标信息。领英上的员工名单、公司官网的邮箱格式、GitHub上不小心提交的API密钥、甚至你发在社交媒体上的工牌照片——这些碎片拼起来，就是一张内部网络地图。我见过最离谱的案例，有人通过公司团建合照里白板上的Wi-Fi密码，直接连进了内网。这不是技术漏洞，是人的漏洞。

踩点阶段可能持续几天，也可能几个月。攻击者不急，他们有的是时间。

初始访问：找那扇没锁的门

拿到足够信息后，下一步是进入系统。常见手法包括钓鱼邮件、弱密码爆破、利用未修补的公开漏洞。钓鱼邮件是最有效的——不需要多高深的技术，只要那封邮件看起来足够真。我朋友公司前台收到的那封“发票确认”，附件里藏的是恶意宏，Excel一打开就悄悄下载了远程控制木马。整个过程不到两秒，用户毫无感知。

还有一种方式叫“水坑攻击”：攻击者先黑掉目标员工常看的行业网站，等他们自己送上门。防不胜防。

驻留与提权：从客人变成主人

刚进来的权限通常很低，只能看不能动。攻击者会想办法提升权限——找系统里的配置错误、窃取管理员凭证、利用内核漏洞。这一步的关键是“安静”。任何异常登录、异常进程都会被安全软件记录，所以他们会用合法工具做非法事，比如用PowerShell下载文件、用远程桌面正常登录。杀毒软件看到的是“管理员在操作”，不是“黑客在入侵”。

驻留时间从几小时到几年都有。有些APT组织能在目标网络里潜伏五年以上，慢慢偷数据，没人发现。

横向移动：从一个房间走到另一个房间

拿到一台机器的控制权后，攻击者不会停。他们会扫描内网，找其他机器、找数据库、找域控服务器。用的还是那些合法工具——PsExec、WMI、SMB。每跳一台机器，就多一层掩护。等到拿下域控，整个网络就彻底沦陷了。

我见过一个案例，攻击者从一台打印机入手，三个月后控制了公司所有服务器。打印机？对，就是那个没人管的网络打印机，固件版本还是2016年的。

收割：拿走想要的东西

最后一步才是真正的目的。可能是偷数据、加密文件勒索、植入后门长期监控，或者直接破坏系统。数据会被打包压缩，通过加密通道传出去。有些攻击者会故意留下几个后门，方便下次再来。

整个过程里，最讽刺的是：大部分入侵用的都不是什么“黑客神器”，而是系统自带的功能、默认配置、以及人的疏忽。你花大价钱买的防火墙，挡不住一个员工点开“发票确认”的手。

我朋友最后付了赎金。数据回来了，但他说再也不敢相信任何一封邮件了。这种信任的崩塌，比丢数据更麻烦。