漏洞直播

凌晨两点十七分，漏洞直播我盯着屏幕上那个进度条。漏洞直播百分之九十三。漏洞直播对面的漏洞直播人正在下载我们公司内网的全部客户资料，速度稳定在每秒十二兆。漏洞直播我手里握着鼠标，漏洞直播指尖发凉，漏洞直播却没点下那个“断开连接”的漏洞直播按钮。

这事得从三天前说起。漏洞直播安全组巡检时发现一台测试服务器上多了个陌生进程，漏洞直播名字叫“svchost.exe”，漏洞直播但路径不对——正常的漏洞直播在System32，这个在Temp目录里。漏洞直播我当时扫了一眼，漏洞直播心想又是漏洞直播哪个实习生乱装软件。随手点开属性，数字签名是空的。再查端口，它正连着境外一个IP，每隔三十秒发一次心跳包。

我把它丢进沙箱跑了一下。五分钟后，沙箱报警：该样本尝试读取浏览器密码库、抓取剪贴板、枚举内网共享目录。最要命的是，它内置了一个SMB漏洞利用模块，专门打我们还没来得及打补丁的那台文件服务器。

按流程，我应该立刻断网、取证、上报。但那个心跳包让我改了主意。它发出去的数据包只有几十字节，像是某种确认信号。我伪造了一个响应，对方居然回了指令：list_dir /finance。财务目录。

我没声张，在防火墙上做了端口镜像，把那台测试机隔离成一个蜜罐。接下来两天，我看着对方一点点摸清我们的网络拓扑：先扫存活主机，再试弱口令，最后用那个SMB漏洞拿到了文件服务器的只读权限。每一步都慢，慢得不像自动化工具，像有人在键盘后面手动敲命令。

第三天晚上，对方开始下载数据。我开了录屏，同时通知了法务和HR。进度条走到百分之九十三的时候，我截了图，记下对方IP和下载的文件列表。然后我按下了断开。

三分钟后，那个IP从境外跳到了国内某省。又过了两分钟，完全消失。我查了下载记录，一共传出去大约四百兆，全是财务的Excel和PDF。但有一个细节：对方跳过了“工资表”文件夹，直接进了“供应商合同”。

第二天开会，我把录屏放了一遍。老板问，为什么不早点断。我说，断了就不知道他到底要什么。现在知道了——他要的不是钱，是合同里的报价条款和账期。这玩意儿在黑市上比客户名单值钱，能直接用来做精准商业诈骗。

后来我们复盘，发现那个漏洞其实三个月前就公布了。补丁一直挂在测试环境没推生产，因为“怕影响业务”。安全组提了三次工单，都被运维压着。直到这次直播结束，补丁两小时内全量推送完毕。

我删掉了录屏里自己的操作记录。有些事不上报，比上报有用。那个IP背后的家伙大概不知道，他下载的第四百兆文件里，有一个我特意放进去的带水印的假合同。水印是个像素点，肉眼看不见，但能定位到打开它的设备。

昨天，那个水印在某个招聘网站的简历附件里出现了。我顺着摸过去，发现是一家竞对公司的采购总监。我没报警。我把证据打包发给了他老板，附了一句话：你们的采购总监，凌晨两点在帮我们测试安全漏洞。

今天早上，那人离职了。我的进度条，终于走到了百分之百。