free dadmin

第一次看到 free dadmin 这个词，是在一个服务器运维群里。有人发了张截图，终端里跳出一行提示：free dadmin，后面跟着一个闪烁的光标。群里没人当回事，以为是某个脚本打错了字。直到三天后，那个群里有四个人同时发现自己的 VPS 被挂上了挖矿程序，才有人回头翻聊天记录，把那张截图重新贴出来。

这不是段子。我后来自己复现过一次，在一台测试机上故意装了个来路不明的面板工具。安装脚本跑完最后一屏，确实出现了 free dadmin 这行字。它看起来像是一句提示，告诉你管理员权限已经释放了，或者某个叫 dadmin 的守护进程被放行了。问题是，你根本不知道这个 dadmin 是谁。

我查过几个开源社区，没有叫 dadmin 的知名项目。倒是在一些被标记为恶意脚本的仓库里，有人把 dadmin 定义成一个隐蔽的 SSH 后门账户。安装脚本会先创建一个普通用户，再通过 sudoers 文件的某个配置漏洞把它提权，最后在 crontab 里埋一条定时任务，每十分钟从某个 IP 拉一次指令。那行 free dadmin 就是它完成部署后打印的标记，像是给自己看的日志。

更麻烦的是，这种脚本往往藏在“一键部署”的幌子下面。你搜“免费面板”“轻量运维工具”，前几页结果里总有几个长得像正经项目。README 写得挺像回事，截图也很干净，安装命令就一行 curl。你复制、粘贴、回车，终端哗哗滚过几十行输出，中间夹杂着 free dadmin，你甚至不会停下滚轮去看它一眼。

我认识一个做独立博客的人，他的机器被当成跳板攻击了另外三台服务器。服务商封他 IP 的时候他还不知道发生了什么。后来排查，发现是三个月前装的一个“免费监控小工具”干的。那个工具的安装脚本最后一行就是 free dadmin。他说他当时看到了，但以为是“释放管理员权限”之类的正常提示。

这事有意思的地方在于，它不靠技术多高明，靠的是你对“免费”两个字的默认信任。一个开源项目，代码公开，issue 里有人提问，作者偶尔回复，看起来一切正常。但安装脚本里的某一行，可能在你执行之前就已经被人改过了。你看到的 free dadmin，是改过之后的版本留下的痕迹。

我现在的习惯是，任何 curl 管道到 bash 的安装方式，都先下载脚本看一眼。哪怕只扫一遍 grep 关键词——useradd、sudoers、crontab、base64。大部分恶意脚本藏不住，它们只是赌你不会看。那行 free dadmin 也一样，它不隐藏，甚至有点张扬，就看你有没有停下来。

如果你在自己的终端历史里搜一下，说不定也能找到这行字。找到了，别犹豫，把那台机器重装。别想着手动清理，你永远不知道它还在哪儿留了后手。免费的东西，代价往往写在你看不见的地方，而 free dadmin 就是那张账单的抬头。