公安系统网络安全渗透工程师

凌晨两点，公安工程某市公安数据中心的系统安全态势感知平台突然弹出红色告警。值班的网络渗透工程师李默扫了一眼屏幕，发现有人正在用SQL注入手法试探户籍查询接口。安全他没急着封IP，渗透师而是公安工程顺着攻击链反向追踪——对方用了三层代理，但第七次请求里露了马脚：一个拼写错误的系统User-Agent字符串，跟三年前某次部级演练中红队用的网络特征完全一致。

这就是安全公安系统渗透工程师的日常。他们不穿警服，渗透师不配枪，公安工程但每天要在几万个数据接口、系统上千台内网服务器之间“找茬”。网络跟互联网公司的安全安全岗不同，这里的渗透师对手可能是境外APT组织，也可能是试图窃取公民信息的黑产团伙，甚至得防着内部人员违规查询。去年某省就出过事：一个辅警用同事的账号批量导出车辆轨迹，卖了八万条。渗透工程师后来复盘发现，那台终端三个月前就被种了远控木马——攻击者压根没碰数据库，直接坐在合法用户的屏幕后面看。

干这行得有点“歪心思”。常规漏扫工具扫不出来的逻辑漏洞，得靠人脑去猜。比如某次测试交通违法处理系统，工程师发现缴费接口的金额参数可以改成负数——你交-200元罚款，系统反而给你退200。这种漏洞扫描器根本报不出来，因为从技术层面看，参数类型、长度、格式全合法。还有个更绝的：某地出入境预约系统，工程师用身份证号生成器批量注册，发现系统只校验了前17位，最后一位校验码随便填都能过。这意味着攻击者能拿一万个假身份占号，再把预约名额卖给黄牛。

渗透工程师最怕的不是攻不进去，是攻进去之后发现的问题没法修。某市局的旧业务系统跑在Windows Server 2003上，数据库还是SQL Server 2000。工程师测出远程代码执行漏洞，报告打上去，回复是“系统太老，厂商早就不维护了，但业务不能停”。最后只能拿防火墙硬扛，把那个端口封了，业务科室的人骂了半个月——他们习惯用那个端口传文件。这种时候就得算账：是冒被攻击的风险，还是冒业务瘫痪的风险。多数时候选前者，因为攻击不一定明天就来，但业务停了今天就得挨批。

技术栈更新快得让人头疼。五年前还在玩注入和上传，现在得盯API网关、容器逃逸、供应链投毒。去年某省警务云被曝出Log4j2漏洞，整个安全处通宵了三天。渗透工程师一边打补丁一边骂——那个组件是某个外包公司三年前集成进来的，文档里根本没提。后来他们定了个规矩：所有新系统上线前，必须把第三方组件清单交过来，少一个就不给过等保测评。

这活干久了会有点职业病。看到任何登录框都想试试万能密码，收到短信验证码先琢磨能不能爆破。有次我去派出所办居住证，民警让我扫个二维码填信息，我盯着那个URL看了半天——HTTP的，没加密，参数里还带着身份证号明文。当时就想掏手机测一下越权，被老婆拽住了。回家路上我跟她说，这系统要是让我测，半小时能找出五个高危。她回了一句：那你咋不去说？我说了，人家回“一直这么用的”。

其实公安系统里像李默这样的人不少，但外界很少知道。他们不在抓捕现场，不写案情通报，每年部里搞“护网”演练的时候才被想起来。有个工程师跟我说过，他最有成就感的时刻，是发现某地市局的视频监控平台能被越权访问——全国几十万个摄像头，差点就裸奔了。修完漏洞那天，他盯着屏幕上的修复确认邮件看了很久，然后关电脑，下楼吃了碗牛肉面。没人给他发奖章，但那天面吃得特别香。