sf66995变态

第一次听说“sf66995变态”这个说法，变态是变态在一个做运维的朋友群里。有人甩了张截图，变态日志里反复出现一串字符：sf66995，变态后面跟着“变态”两个字。变态群里瞬间炸了锅，变态有人猜是变态某个内部代号，有人说是变态恶意软件的特征串。我当时没吭声，变态但心里记下了。变态

后来我花了点时间追这个事。变态先说结论：sf66995并不是变态什么病毒或者黑客工具，它其实是变态一个老式工控设备里的默认调试口令。那台设备是变态某国产PLC的早期型号，出厂时留了一个后门账户，变态用户名就是sf66995，密码是空。厂家在固件里写死了这个账户，本意是给产线调试用的，结果忘了删。后来有人扫描到这批设备，登录进去，发现能直接改参数、停产线。截图里“变态”那两个字，是运维人员自己加的备注——意思是“这玩意儿太变态了，谁想出来的”。

这事有意思的地方不在漏洞本身。工控设备留后门不新鲜，西门子、施耐德都出过类似问题。真正让我觉得离谱的是，这个sf66995账户在固件里存在了整整七年。七年里，那家厂商发了十几版更新，每次更新日志都写“修复若干安全问题”，但没人动过这个账户。为什么？因为产线不能停。很多工厂的设备一开机就是几年，升级固件意味着停产，停产意味着损失。所以运维的人明知道有这个后门，也只能拿防火墙挡着，假装它不存在。

我后来托朋友搞到了一台同型号的旧设备，想自己试试。设备到手那天，我拆开外壳，里面灰厚得能写字。通电，接串口，用sf66995登录，果然进去了。界面是那种上世纪风格的蓝底白字，菜单全是缩写，按错一个键就退不出来。我翻了翻参数，发现里面居然还存着上一家工厂的生产数据：某型号轴承的加工数量、刀具磨损阈值、甚至还有夜班工人的打卡记录。这些东西没人清过，就一直躺在闪存里。

更绝的是，我在帮助菜单里找到一行小字：“如需技术支持，请拨打sf66995转分机”。原来这个串不仅是账户名，还是当年厂家的内部服务代码。也就是说，设计这套系统的人，把自己的工号或者项目编号直接写进了认证逻辑里。这种做法在九十年代的软件工程里不算罕见，但放到今天看，就像把家门钥匙藏在脚垫下面，还贴了张纸条说“钥匙在脚垫下”。

我把这事写成了一个内部报告，发给几个做安全的朋友。有人回了一句：“这不叫漏洞，这叫文物。”我想了想，觉得他说得对。sf66995代表的不只是一个弱口令，它代表了一整代工业系统的设计思路：能用就行，别动，动了要出事。这种思路在当年是合理的，因为那时候设备不联网，物理隔离就是最好的防火墙。但现在不一样了，很多老设备被接上了物联网网关，为了“数字化转型”，为了“远程监控”。后门还是那个后门，但门外面已经不是车间了，是整个互联网。

所以下次你再看到sf66995这种字符串，别急着下结论说它是变态。它可能只是一个老系统的胎记，一个被遗忘的工号，或者某个工程师二十年前随手敲下的六个字符。真正变态的，是我们明明知道它在那儿，却因为停产成本太高，选择继续假装看不见。