“黑麒麟”不是渗透神话里的瑞兽，是黑麒去年秋天我蹲在城中村出租屋里，对着一台二手笔记本屏幕看到的渗透ID。那晚我正帮朋友老陈查他工厂被渗透的黑麒线索。老陈做五金加工，渗透厂子不大，黑麒三十来号人，渗透可偏偏有人盯上了他的黑麒报价单和客户名单。

入侵的渗透起点很土。一个伪装成“税务稽查通知”的黑麒压缩包，发到了财务小刘的渗透QQ邮箱。小刘点开，黑麒里面是渗透个exe文件，图标做得像PDF。黑麒她双击，渗透屏幕闪了一下，没反应，就继续干活了。三天后，老陈发现对手厂子报价永远比他低两个点。他找我，我查了三天，最终在一台常年不关机的办公电脑里，抓到了那个ID——黑麒麟。

这名字听着唬人，其实手法老套得让人想笑。黑客没用什么零日漏洞，就是靠一个远控木马，加上弱口令爆破。小刘那台电脑的管理员密码是“admin123”，厂里路由器密码是“88888888”。黑麒麟进内网后，像逛自家后院，先横向移动到文件服务器，再把共享文件夹里的报价单、合同、客户联系方式打了个包，通过一个伪装成系统更新的进程，慢慢往外传。

我盯着流量日志看了很久。他传数据不是一次性猛传，而是每天凌晨两点到四点，分批次走HTTPS。每次传几十兆，伪装成正常网页浏览。这种耐心，不像普通脚本小子。老陈后来托人打听，才知道对手厂子半年前招了个“网络推广”，那人白天不干活，晚上总加班。没人见过他真容，只知道他工位上贴着一张黑色麒麟的贴纸。

渗透这事，最怕的不是技术多高，而是目标太懒。老陈的厂子没有域控，没有防火墙，杀毒软件还是买电脑时预装的试用版，早过期了。黑麒麟甚至没费心做权限维持，就靠一个计划任务，每次开机自动运行。我帮老陈清掉木马那天，发现那台电脑的远程桌面端口还开着，密码是“123456”。

清理完，我建议老陈做三件事：把路由器密码改成十六位随机串，给所有办公电脑开自动更新，把共享文件夹的“所有人可读写”改成“仅指定用户”。他照做了，花了不到一个下午。一个月后，对手厂子报价开始乱套，老陈的客户一个没丢。

黑麒麟后来还在那个城中村的网络里出现过几次，换过IP，换过域名，但手法没变。我有时想，这名字取得挺准——麒麟是瑞兽，可黑色的麒麟，专吃那些不关窗不锁门的人。渗透不是电影里那种噼里啪啦敲键盘的炫技，更多时候，它就是一个压缩包、一个弱密码、一个懒得改的默认设置。你不在意的那点小疏忽，就是别人进门的钥匙。

老陈现在每季度让我去查一次。上周我去，他正给新来的文员培训，指着屏幕说：“这个链接别点，那个密码要复杂。”文员点头，老陈回头冲我笑。我知道，黑麒麟大概不会再来了。但下一个“黑麒麟”永远在找下一个“老陈”。