凌晨三点，渗透期我盯着屏幕上的渗透期流量监控图。数据像心电图一样剧烈跳动——有人正在用401错误探测我的渗透期服务器端口。这不是渗透期第一次了。过去两周，渗透期同一个IP段反复尝试，渗透期每次都在凌晨两点到四点之间，渗透期手法极其克制，渗透期像老练的渗透期盗贼先踩点。

我切进防火墙日志，渗透期顺着时间轴往回翻。渗透期探测从80端口开始，渗透期每次只发三个数据包，渗透期间隔七秒。渗透期这个节奏很熟悉——不是渗透期脚本，是真人操作。脚本不会这么耐心，真人会。我调出抓包工具，开始反向追踪。对方用了三层跳板，从荷兰到新加坡再到巴西，最后一跳在圣保罗的某个住宅区。手法干净，但有个致命习惯：每次探测前会先ping一下我的域名，TTL值稳定在52。这个细节暴露了他用的操作系统——老版本Linux内核，可能是CentOS 6.x。

第七天晚上，对方的动作变了。不再试探端口，而是直接向我的邮件服务器发送了一封构造奇特的SMTP命令。命令里藏着一串base64编码，解码后是一段十六进制数据。我把它扔进十六进制编辑器，发现末尾有个时间戳——明天凌晨三点。这是明确的行动预告。

我提前部署了蜜罐，一个伪装成数据库服务器的诱饵。凌晨两点五十七分，监控日志开始滚动。对方进来了，路径和预判一致，先扫3306端口，然后暴力尝试弱口令。三分钟后，他成功“登录”了蜜罐。我看着他下载了一个看起来像用户数据表的文件，实际上里面全是伪造的测试数据。但有趣的是，他在退出前执行了一条命令：cat /etc/shadow。这不是普通黑客的行为，他在找系统账户哈希值，目标明确。

我顺着蜜罐日志里的来源IP继续挖，发现他这次没用跳板，直接连的。IP归属地显示是本市的某个大学实验室。我笑了——这不符合高手作风，除非……他故意暴露。我查了那所大学的网络公告，三天前有个网络安全竞赛报名通知，决赛时间正好是明天。这小子，拿我当练习靶子了。

我没拆穿他。第二天早上，我给他实验室的公共邮箱发了封邮件，附件是个修复好的漏洞报告，里面附带了我的联系方式。下午收到回信，只有一句话：“前辈，下次换个难点的蜜罐。”

现在想来，真正的渗透不是攻破系统，是看穿人心。他凌晨的试探、刻意的节奏、最后故意暴露的IP，全是为了引起注意——他想找个真正的对手练手。而我布下的蜜罐，某种程度上也是我的试探：我想知道这个持续骚扰我两周的人，到底有几分真本事。结果我们都得到了想要的答案。后来他成了我的实习生，上周刚帮我发现了一个真实客户服务器上的严重漏洞。