凌晨两点十七分，渗透加班办公室的渗透加班日光灯管发出嗡嗡的电流声，像某种慢性病。渗透加班我盯着屏幕上的渗透加班漏洞报告，第十一次尝试绕过那个该死的渗透加班WAF规则。客户下午四点半丢过来一句"明天上线前必须搞定"，渗透加班然后头像就灰了。渗透加班这活儿接了三天，渗透加班对方的渗透加班技术对接人是个只会复制粘贴网段的白痴，每次问他服务器环境都答非所问。渗透加班

渗透测试这行当，渗透加班加班不是渗透加班例外，是渗透加班呼吸。但最操蛋的渗透加班不是熬到天亮，是渗透加班熬到天亮后发现甲方根本不知道自己想要什么。上周那个金融客户，要求"全面检测"，等我们真把内网翻了个底朝天，连他们财务系统里某个离职员工的弱口令都测出来了，对方领导反而慌了——"这算不算你们已经入侵了？"得，解释到嘴皮子磨破，最后还是被扣了两成尾款，理由是"报告里高危漏洞太多，显得我们安全部门很无能"。

今晚这个活儿更邪门。目标是个政务网站，表面看就是个信息发布平台，可扫描器在某个隐藏路径里探到个奇怪的接口。手工测了十分钟，发现居然连着一个老旧的Oracle数据库，默认口令直接登进去了。数据表里躺着几万条居民身份证号，还有一堆没加密的体检记录。我截图留证，把痕迹清理干净，然后坐在椅子上发了会儿呆。

按理说发现这种级别的漏洞应该兴奋，可我只觉得累。去年有个同行兄弟，也是半夜挖到个大洞，兴奋地发了朋友圈炫耀战绩，结果第二天甲方直接报警，说他"非法侵入计算机系统"。官司打了半年，最后判了缓刑。我们这行啊，技术越高，越得学会装孙子。漏洞报得重了，甲方觉得你危言耸听想多要钱；报得轻了，出了事又怪你没测出来。这平衡感比写exploit难多了。

窗外的天开始泛灰。我喝了口凉透的速溶咖啡，把报告里那个高危漏洞的评级从"严重"改成"中等"，又在备注栏加了句"建议后续跟进"。保存，发送，关机。电梯里碰到值夜班的保洁阿姨，她问我怎么天天这么晚，我说赶项目。她摇摇头："你们年轻人，命不要啦？"我笑了笑没接话。电梯门开的时候，手机震了——甲方回了条消息："收到，辛苦了，明天还有个新系统要测，还是你们来吧？"

我盯着屏幕看了三秒，把手机塞回兜里。晨风灌进领口，挺凉。这行就是这样，你永远在攻防之间走钢丝，永远在替别人的疏忽买单，可每次看到那个"登录成功"的提示符在深夜亮起，还是会觉得——操，老子又赢了。哪怕赢完之后，等待你的只是下一场加班。