凌晨两点十七分，渗透我盯着屏幕上那个跳动的考试光标，第八次输入了错误的渗透密码。

这不是考试什么高深的渗透测试。目标是渗透一家本地小银行的内部培训系统，漏洞扫描报告显示他们用了三年前的考试Struts2框架，连补丁都没打。渗透但客户要求"模拟真实攻击"，考试所以我不能直接甩出利用脚本——得像个真正的渗透入侵者那样，一步步摸进去。考试

真正的渗透渗透考试题从来不是技术题。是考试心理题。

我试着回忆白天踩点时看到的渗透细节：前台小姑娘的工牌上印着"张婷"，她电脑屏幕的考试便签贴着"密码不要用生日！！渗透"——那个感叹号出卖了她，她改过密码，但大概率改成了某个纪念日。我翻了她微博，最近晒了张蛋糕照片，配文"和老公的第七个结婚纪念日"。

试了"20170415"，不对。试了"zt2017"，不对。试了"zhangting0415"，还是不对。

我停下来，去喝了口水。玻璃杯里浮着两片柠檬，是下午泡的，已经泡出苦味了。我盯着那两片沉底的柠檬，突然想起一个老前辈说过的话：人最常用的密码，不是最熟悉的数字，而是最想记住又怕忘的数字。她怕忘的是结婚纪念日，但更怕忘的，可能是孩子的生日。她又翻回那张蛋糕照片，背景里模糊的儿童气球，写着"5"。

输入"zt20150415"。回车。

登录成功的提示音在寂静的办公室里格外刺耳。我盯着那个"欢迎，张婷"的页面，没觉得得意，反而有点发毛——如果我是真正的攻击者，这时候已经能转账了。而这一切，只靠一条公开的微博和一张工牌照片。

渗透考试的第二题更阴。他们给我一个内网IP，说"随便玩玩"。我扫了一圈，发现一台打印机开着9100端口。打印机？能干什么？我试了试默认口令，居然进去了。然后我干了件缺德事——往打印队列里塞了个文档，内容是"请修改所有员工密码为强密码，谢谢合作"。

第二天客户反馈说"打印机吐了张莫名其妙的纸"，但没人当回事。我告诉他们：如果我把那页纸换成"转账到某某账户"，或者更阴的——把固件刷了，让打印机每次开机都执行恶意代码，你们谁会知道？

对方沉默了很久。

其实我最想吐槽的是第三题。他们让我测一个内部OA系统，我随手试了试"admin/123456"，直接进去了。这不算漏洞，这算门没锁。但客户非要我写个"详细的分析报告"，还要附上"修复建议"。我写了三页纸，核心就一句话：别用弱口令。但我知道他们不会改的，因为改密码要通知全员，要培训，要花预算——而他们今年的安全预算，已经全花在请我们做这次渗透测试上了。

挺讽刺的。考试题考的不是我，是他们。

收工的时候天快亮了。我把所有痕迹清理干净，关掉虚拟机，把桌面壁纸换回默认的蓝色。想起张婷那个密码，她可能永远不知道，自己最私密的数字组合，在陌生人眼里不过是一条推理题。

渗透测试这行干久了，你会越来越不信人。不是不信人性本恶，而是不信人会认真对待"安全"这件事——除非刀架在脖子上。而我们的工作，就是拿着钝刀，一遍遍模拟割喉的动作，然后告诉他们：看，血是这么流的。

打印机在角落里"嘀"了一声，吐出一张测试页。我拿起来看了眼，上面印着：TEST OK.

是啊，测试通过了。但真正的考试，从来不在考卷上。