2023年夏天，黑客某三甲医院的入侵挂号系统在凌晨三点被拖走整整两小时的数据。事后溯源发现，手段和攻击者没有用什么零日漏洞，途径只是黑客给前台护士发了一封伪装成“卫健委通知”的邮件，附件里藏了个宏病毒。入侵护士点开，手段和内网凭证就到手了。途径这事听起来离谱，黑客但绝大多数入侵就是入侵这么开始的——从人下手，而不是手段和从代码。

黑客圈有句老话：你花三百万买的途径防火墙，敌不过前台小姑娘点一下“启用宏”。黑客社会工程学至今仍是入侵性价比最高的突破口。钓鱼邮件、手段和假客服电话、LinkedIn上伪装成猎头的私信，甚至蹲在写字楼楼下捡员工随手扔的快递单——上面有姓名、电话、公司地址。别笑，真有团队靠翻垃圾桶拼出完整组织架构图。我见过一个案例，攻击者冒充IT支持给财务总监打电话，说“需要验证您的VPN令牌是否过期”，三分钟套出动态口令。技术再硬，也架不住有人主动把钥匙递出来。

当然，纯技术路径也够狠。SQL注入算老古董了，可2024年OWASP榜单上它还在前五。为什么？因为总有程序员图省事，把用户输入直接拼进数据库查询。去年某电商平台被拖库，入口就是个商品评论框——攻击者输入一段带特殊字符的评论，后台直接返回了整张用户表。还有更隐蔽的：供应链攻击。你用的开源库、第三方SDK、甚至代码编辑器插件，都可能被植入后门。SolarWinds事件过去好几年了，但类似手法越来越精细。我认识一个安全研究员，他在npm上发了个叫“color-helper”的包，半年内被下载四万次，里面藏了窃取环境变量的逻辑。没人审查，因为大家都信任“开源”。

物理接触往往被忽略，但威力巨大。你出差时把笔记本落在酒店房间，保洁员可能只是顺手插个U盘——那个U盘模拟成键盘，三秒内执行完PowerShell脚本，装好远控木马再拔掉。或者更简单：在咖啡厅连免费WiFi，攻击者架个同名热点，你连上后所有未加密流量一览无余。我试过用一块三十块钱的网卡做中间人攻击，截获隔壁桌登录公司OA的明文密码。技术门槛？几乎为零。

零日漏洞当然存在，但那是国家队的玩具。普通黑产更爱“N日漏洞”——厂商补丁发了半年，你还没打。永恒之蓝过去七年了，扫描全网还能找到几十万台没打补丁的机器。勒索软件团伙最喜欢这种，一打一个准。某地政务云被锁，要价三百万美元，最后发现入口是台Windows Server 2008，补丁停在2019年。运维说“业务不能停”，结果停了整整一周。

还有一类入侵不靠漏洞，靠配置错误。S3存储桶设成公开可读、MongoDB没设密码、Redis绑在0.0.0.0——这些低级错误每年导致的数据泄露比APT攻击多得多。我扫过全网开放端口，十分钟内找到两百多个未授权的Elasticsearch实例，里面全是用户订单和身份证号。攻击者甚至不需要“入侵”，他们只是“访问”了本该锁上的门。

入侵的途径一直在变，从暴力破解到供应链投毒，从钓鱼邮件到物理U盘。但核心没变：找最薄弱的环节。那个环节可能是代码，可能是配置，更可能是人。你花大价钱买EDR、做等保、搞零信任，结果有人把密码写在便利贴上贴在显示器边框。这种事我见过不止一次。安全不是产品堆砌，是持续对抗人性懒惰和侥幸的过程。黑客懂这个，所以他们总赢。