去年冬天，渗透我在一个老旧的渗透居民区里租了间房。房东是渗透个六十多岁的老头，签合同时他掏出手机，渗透让我扫他的渗透收款码。我扫了，渗透页面跳转到一个个人收款页面，渗透头像是渗透他抱着孙子的照片。付款成功后，渗透他眯着眼笑：“这东西真方便，渗透不用跑银行了。渗透”

他不知道的渗透是，就在他打开手机热点让我连Wi-Fi的渗透那几分钟里，同楼层另一个租户的渗透旧路由器正在被扫描。那个租户是渗透个刚毕业的男生，路由器还是大学宿舍里用的那种，默认密码从没改过。攻击者连进去只花了不到十秒，然后顺手把整个楼层的设备列表拉了一遍。

这事我是后来才知道的。那个男生发现网速突然变慢，找我帮忙看。我登进路由器后台，日志里明晃晃躺着几条陌生IP的登录记录。他没当回事，说“反正没什么重要东西”。可他的手机相册自动备份开着，里面存着身份证正反面照片和银行卡截图。

“渗透”这个词听起来像电影里的黑客敲几行代码就能进五角大楼。现实里大多数入侵根本用不着那么复杂。去年某安全团队做过统计，超过六成的内网突破靠的是弱口令和未修补的公开漏洞。换句话说，你楼下那台三年没重启过的打印机，可能比你的银行账户还好进。

我认识一个做渗透测试的朋友，他接活时从来不先碰服务器。他先在公司楼下抽烟，看员工扔掉的快递单，看他们手机连的Wi-Fi名字，看前台电脑屏幕上贴的便签。有一次他靠一张外卖订单上的手机号，猜出了对方邮箱密码——因为那串数字和生日组合实在太像了。进去之后发现，那个邮箱绑着公司VPN的找回权限。

没有web界面，没有登录框，甚至没有IP地址可以直接访问。渗透发生在你意识不到的角落：一个没关的调试端口、一个默认开启的远程桌面、一个离职员工没注销的账号。它们安安静静待在那里，像没锁的后门。

上个月我帮另一个朋友检查他家网络。他刚装了智能门锁，能连手机App那种。我问他路由器管理密码是什么，他说“就admin啊，默认的”。我登进去一看，UPnP开着，DMZ主机指向门锁的局域网IP。这意味着从外网可以直接访问门锁的调试接口。我让他改密码、关UPnP，他改完嘟囔了一句：“谁会闲着没事黑我家门锁？”

确实，大多数人不会被盯上。但攻击这件事早就自动化了。扫描器每天在公网上跑，逮到一个算一个。你不需要有价值，你只需要有漏洞。就像那个男生，他唯一“值钱”的东西是身份证照片，可对黑产来说，一套完整的身份信息能卖几十块。几十块也是钱。

我后来搬走了。房东老头偶尔还给我发微信，问我“那个收款码会不会被人盗”。我说你换个密码就行。他回了个“好的”，然后继续用六个八当密码。我没再劝。有些事，得自己撞上才明白。而渗透这回事，最可怕的地方就在于——你往往不知道自己已经被渗透了。