2023年秋天，黑客我一个在安全公司做渗透测试的入侵朋友给我看了他的一次“钓鱼”成果。他伪造了一封公司IT部门的别人邮件，说VPN客户端需要紧急更新，电脑附上一个链接。黑客点进去是入侵个几乎和真实登录页一模一样的页面。48小时内，别人公司300多人里，电脑有47个人输入了账号密码。黑客他拿到了47组有效凭证。入侵没有漏洞利用，别人没有暴力破解，电脑就是黑客一封邮件加一个假页面。

大多数人想象中的入侵黑客入侵，是别人电影里那种对着黑色终端狂敲代码、屏幕上绿色字符飞速滚动的画面。真实的入侵比这无聊得多，也狡猾得多。

弱密码是最省事的门

我见过一个真实的案例：某小型企业的服务器被入侵，原因仅仅是管理员账号的密码是“admin123”。攻击者用自动化工具扫描公网IP段，尝试常见用户名和密码组合，几分钟就进去了。这种工具网上随便就能下载，不需要任何编程知识。

暴力破解听起来很笨，但配上字典文件就变得高效。所谓字典，就是收集了大量常见密码的文本文件——“password”“123456”“qwerty”“生日+姓名拼音”这类组合。一台普通电脑每秒能尝试上千次。如果目标没有登录次数限制，一个中等强度的密码也扛不了太久。

钓鱼才是真正的重灾区

技术手段之外，人的因素往往更致命。前面提到的假登录页，技术含量低到任何一个会做网页的人都能搞出来。但它的成功率远高于暴力破解。

钓鱼的手法也在进化。早期的钓鱼邮件错别字连篇，现在的不一样了。攻击者会先翻你的社交媒体，知道你最近在用什么服务、跟谁有邮件往来，然后伪装成那个服务或那个人给你发消息。我见过一封伪造得极其精细的邮件，发件人显示是某云服务商的官方地址，内容说你存储空间即将到期，需要点击链接续费。链接指向的域名只和真实域名差一个字母。

还有一种叫“水坑攻击”。攻击者不去直接找你，而是攻破你经常访问的某个小网站，在页面里植入恶意代码。你正常访问，浏览器就悄悄下载了木马。这种攻击针对性强，防守方很难提前察觉。

漏洞利用：不需要你犯任何错

有些入侵完全不需要受害者做任何操作。2017年的“永恒之蓝”漏洞利用工具泄露后，全球数十万台电脑在几天内被感染。攻击者只需要扫描开着445端口的机器，发送一个特制数据包，就能远程执行代码。没有钓鱼，没有弱密码，纯粹是系统漏洞。

浏览器、插件、办公软件、路由器固件——任何联网的软件都可能有漏洞。零日漏洞（即厂商还没发布补丁的漏洞）在黑市上能卖到几十万甚至上百万美元。普通人不太可能成为零日攻击的目标，但已经公开但你没打补丁的漏洞，就是另一回事了。

物理接触：最直接的方式

抛开网络，直接碰到你的电脑，事情就简单多了。插一个特制的USB设备，几秒钟就能植入后门或者窃取数据。甚至在电脑关机状态下，通过冷启动攻击读取内存中的加密密钥，也不是什么新鲜技术。

我认识一个做企业安全审计的人，他最常用的手段就是趁员工去茶水间的时候，把一个小型硬件设备插到对方电脑上。十次里有八次不会被发现。

入侵这件事，技术只是其中一环。攻击者永远在找成本最低、最不容易被发现的路径。有时候那是一条代码漏洞，有时候只是一封措辞巧妙的邮件。