去年秋天，网络我旁听了一节大一新生的攻防网络攻防课。老师没讲任何理论，基础直接扔出一个“蜜罐”实验：他故意在校园网里放了一台配置薄弱、入门看起来存有“奖学金名单”的课程假服务器。不到二十分钟，网络就有三台内网机器扫描到了它。攻防其中一个IP来自图书馆的基础公共终端，另一个来自学生宿舍区——最绝的入门是，第三个来自教师办公楼的课程打印机。

打印机居然会主动扫描内网？网络这让所有学生都愣住了。老师这才慢悠悠地说：网络攻防的攻防第一课，不是基础学怎么攻击，而是入门理解“信任”是多么脆弱的东西。那台打印机是课程某位教授为了图方便，接入了校园网默认的共享协议，它的固件里有漏洞，早被植入了挖矿木马。它不是在“扫描”，而是在替背后的攻击者寻找下一个可传染的宿主。

这就是我想说的核心事实：网络攻防的本质，不是黑客与防火墙的科幻对决，而是对“默认配置”和“人性懒惰”的持续博弈。你不需要懂高深的数学，你只需要知道——路由器出厂密码是admin，Windows默认共享是开着的，以及绝大多数人会把生日设为密码。

举个例子。课程里有个经典练习，叫“ARP欺骗”。原理极其简单：在同一个局域网里，你告诉路由器“我是那台目标电脑”，又告诉那台电脑“我是路由器”。两边都信了，所有流量就都经过你的网卡。听起来像魔术，但实操起来，只需要下载一个几十KB的小工具，点两下鼠标。班里有个女生做完这个实验后说了一句话，我至今记得：“原来我平时上网，就像在明信片上写日记，邮差想看就看。”

当然，光知道怎么“骗”还不够，你得知道怎么“防”。防御的思路同样不复杂——既然ARP协议不验证身份，那就用静态绑定，把IP和MAC地址写死。既然默认密码危险，那就改成随机长密码。既然打印机都能被利用，那就把所有物联网设备单独划一个VLAN，跟核心数据物理隔离。

但这里有个让人哭笑不得的悖论：越是安全措施，越会遭到用户的抵制。老师让我们给自己的电脑设置强制锁屏，结果第二天就有三个学生抱怨“太麻烦了，每次上厕所回来都要输密码”。还有个学生偷偷把防火墙的告警提示全部关掉，因为“弹窗太烦了”。安全与便捷，永远是死对头。真正的攻防高手，其实是在跟“人”打交道，而不是跟代码。

课程最后，老师展示了一个真实的攻击日志。那是一个针对某高校教务系统的撞库攻击，攻击者用从其他网站泄露的账号密码，尝试登录教务系统，成功率达到3%。3%听起来很低，但全校两万师生，就意味着六百个账号沦陷。而这些账号里，有超过一半的人，在多个平台使用同一个密码。攻击者甚至不需要破解，只需要“捡”别人丢掉的钥匙。

所以，如果你问我这门课教会了我什么，我会说：它让我彻底改变了上网的习惯。以前我总觉得黑客离我很远，现在我知道，每一次连接公共Wi-Fi、每一个懒得改的默认设置、每一次点击“记住密码”，都是在给网络那头某个不知名的“打印机”递梯子。网络攻防的基础，说白了就三件事——别信默认，别嫌麻烦，别把隐私当便签纸。