黑客入侵案例和原因

2023年5月，黑客和原某省会城市一家三甲医院的入侵挂号系统突然瘫痪了四个小时。不是案例服务器过载，也不是黑客和原光纤被挖断——运维人员后来在日志里翻出一串来自罗马尼亚IP的异常请求，攻击者用了一个三年前就公开过的入侵Struts2漏洞，绕过了登录验证，案例直接往数据库里塞了加密勒索信息。黑客和原医院最后没交赎金，入侵但当天所有专家号作废，案例几百个病人白跑一趟。黑客和原这事儿后来没上新闻，入侵因为院方觉得丢人。案例可它暴露的黑客和原问题很典型：黑客未必盯着你的钱，有时候只是入侵你门上那把锁太旧了。

入侵这件事，案例绝大多数时候跟“技术碾压”没什么关系。我翻过不少公开的案例卷宗，发现一个规律——超过六成的成功入侵，靠的是“捡漏”。什么叫捡漏？就是系统里有个已知漏洞，补丁早就发布了，但管理员没打。2017年WannaCry横扫全球的时候，英国NHS有四十多家医院中招，事后调查发现，微软在两个月前就推送了MS17-010的修复补丁。没装。就这么简单。黑客用的工具叫EternalBlue，是美国国安局泄露出来的，网上随便下。一个中学生拿着现成的脚本都能跑起来，根本不需要懂汇编。

再说一个我印象很深的例子。2021年，某电商平台的后台管理员账号被撞库了。撞库这个词听起来技术含量不高，说白了就是拿别的网站泄露的账号密码，挨个往这儿试。那个管理员在三个不同平台用了同一个密码，其中一个平台早在2019年就泄露过用户数据。黑客拿到那批数据后，写了个脚本自动跑，两天就跑出了这个管理员的登录凭证。进去之后，他什么都没改，就留了个后门，然后安安静静地看了三个月的订单数据。直到平台做安全审计，才发现有个IP地址每天凌晨三点准时来“报到”。

为什么这些漏洞总有人踩？我觉得跟“侥幸心理”关系很大。很多中小企业的IT负责人跟我说过类似的话：“我们这点数据，谁看得上？”可黑客不挑食。自动化扫描工具每天在互联网上爬，看到一个开放的端口就记下来，看到弱密码就试一下。你觉得自己不起眼，但在扫描器眼里，你就是一个IP地址，跟别人的没什么两样。2022年有个做外贸的小公司，二十来号人，服务器被入侵后成了僵尸网络的一部分，往外发垃圾邮件。他们自己完全不知道，直到ISP把带宽掐了才反应过来。

还有一类入侵挺有意思——内部人干的。不是那种商业间谍，就是普通员工。有个案例是某公司的财务系统被改了收款账号，查到最后发现是离职半年的前会计，他手里还留着VPN的账号密码，公司没注销。他半夜登进去，把供应商的银行账号换成了自己的，第二天照常上班，没人发现。这种事儿防起来比防外部黑客难多了，因为你有防火墙，但防火墙不会问“你为什么要改这个字段”。

说回技术层面。现在的入侵链条其实很成熟了：扫描、踩点、找突破口、提权、留后门、清日志。每个环节都有现成的工具包，甚至有“入侵即服务”这种黑产模式——你花钱，别人帮你打。门槛低到什么程度？去年有个14岁的初中生，用手机上的Termux装了个Metasploit，黑掉了学校的内网，就为了改成绩。他连Python都不会写，但教程网上有的是。

所以别把黑客想得太神秘。他们中的大多数，不是电影里那种敲几下键盘就能让灯全灭的天才。他们更像是不请自来的开锁匠，专挑没锁门的那家推一把。你唯一能做的，就是别当那家没锁门的。