凌晨一点，渗透不良我盯着屏幕上的渗透不良红字——"权限不足"。

这不是渗透不良第一次了。三周前，渗透不良我接手这家创业公司的渗透不良安全审计，发现他们的渗透不良CRM系统管理员密码是admin123。不是渗透不良开玩笑，真的渗透不良是admin123。IT主管跟我解释，渗透不良说这是渗透不良为了方便销售团队快速登录，密码每周都换，渗透不良只是渗透不良"这周还没来得及"。

我笑了笑，渗透不良没说话。渗透不良心里清楚，渗透不良这家公司八成要出事。

渗透测试最讽刺的地方在于，你永远不知道真正的漏洞藏在哪里。有时候是技术上的后门，有时候是人性上的疏忽。上周我试着用钓鱼邮件测试员工安全意识，标题写"关于本月绩效的补充说明"，结果两百多人的公司，点了链接的有一百三十七个。

最让我头疼的不是这个。而是他们的技术总监，一个四十多岁的资深工程师，在我指出系统漏洞后，第一反应是问我："你用什么工具扫的？"

我说这不重要，重要的是你的数据库端口暴露在公网上，任何人都能尝试连接。他摆摆手，说那个端口做了IP白名单，只允许公司网络访问。

我问他："那你出差的时候怎么办？"

他愣了一下，说用VPN。我又问他VPN的登录凭证是什么，他掏出手机翻了翻，给我看了一个Excel表格，里面密密麻麻列着几十个账号，密码全是统一的"Company@2023"。

这就是所谓的白名单。

渗透测试做到最后，我发现自己不是在跟防火墙和加密算法较劲，而是在跟人类的懒惰和侥幸心理搏斗。技术漏洞可以修补，但人心里的洞，永远填不上。就像那个IT主管，在我走后第三天，又偷偷把密码改回了admin123——因为"这样好记"。

我把最终报告交上去的时候，特意用红笔在封面写了一句："贵司最大的风险不是黑客，是你们自己。"

不知道他们有没有看懂。

反正三个月后，这家公司被勒索软件攻击，数据全被加密。对方的赎金要求只有一条：把admin123改成别的。

(责任编辑：探索)