去年秋天，何黑隔壁宿舍的入学李明用一台二手ThinkPad，在凌晨两点连上了学校教务系统的网络内网。他没改成绩，何黑只是入学把自己的选课优先级调到了最高。三天后，网络信息中心的何黑人找上门，他才知道那台旧电脑的入学网卡MAC地址早就被记录在案。学校网络没那么神秘，网络但也没那么脆弱——关键在于你从哪切入。何黑

大多数学校网络分三层：最外面是入学认证网关，中间是网络各楼层的接入交换机，最里面是何黑教务、财务、入学图书馆这些独立子网。网络认证网关通常跑的是Portal或者802.1X。Portal就是网页登录，输学号密码那种；802.1X需要装客户端，比如锐捷或者深信服。很多人卡在第一步，其实Portal有个老毛病——未认证前就能拿到IP地址。你打开命令行，ipconfig一下，如果看到169.254开头的地址，说明DHCP没通；要是拿到10.x或者172.x，恭喜，你已经在局域网里了，只是网关不让你出去。

这时候可以试试ARP扫描。Windows下用arp -a，Linux下用arp-scan --localnet。你会看到一堆IP和MAC。找那些没有绑定学号的设备——打印机、监控摄像头、老师的办公电脑。去年有个案例，某校一台海康威视摄像头用的是默认密码admin/12345，学生登进去后发现了整个监控子网的路由表。当然，那是违法的，我说这个只是告诉你：学校网络的边界比你想的模糊。

更常见的入口是WiFi。很多学校把教师WiFi和 student WiFi 放在同一个物理AP上，只是SSID不同。教师SSID往往用WPA2-Enterprise，但有些老校区还在用WPA2-PSK，密码是学校缩写加123。你连上后，会发现能访问一些学生网访问不了的内部站点，比如打印服务器或者旧版OA。有个学弟告诉我，他连上教师WiFi后，直接浏览器输入192.168.1.1，跳出来的是某品牌路由器的登录页，用户名admin，密码空。他没改任何东西，只是截了张图发给我。

如果你真想深入，得懂一点VLAN hopping。接入交换机的端口通常划分了VLAN，学生VLAN是10，教师是20，服务器是30。默认情况下，不同VLAN不能通信。但有些交换机配置了DTP（动态中继协议），你发一个DTP帧过去，它可能自动把端口变成trunk。然后你就能用802.1Q标签伪造VLAN号。这需要你连上网线，而且交换机没关DTP。我试过三次，成功一次，那台交换机是Cisco 2950，2007年的老家伙。

别碰核心数据库。教务系统的SQL注入早被修了，现在都是参数化查询。但文件上传功能还有漏洞——上传一个.jsp或者.php的木马，如果服务器没做白名单，你就能拿到webshell。不过，大多数学校有WAF，而且日志会记录你的学号。李明那次只是调了选课优先级，信息中心的人说：“我们知道是你，因为只有你的账号在凌晨两点访问了选课接口。”他没被处分，但写了三千字检讨。

最后说个真事。某校信息中心的老王告诉我，他们最怕的不是黑客，是学生把网线插到打印机上。打印机的IP往往没做端口隔离，你插上去，就能嗅探整个楼层的流量。有一次，一个学生用Wireshark抓到了老师的邮箱密码，因为那老师用POP3收邮件，没加密。老王说：“我们后来把所有打印机都关了SNMP，但已经晚了。”

学校网络像一栋老房子，窗户没锁，但门上有报警器。你可以推推窗户，别砸门。