《毛骗》第二季第一集｜网安对照：救援名单落到对手手里，备用通道被逐个堵死

原创

messfree
messfree

MessFreeSecurity

2026年10月8日 08:00
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

《毛骗》人心攻防录 S02E01｜社会工程学 × 网络安全

冬冬躺在医院里，失血过多，急需救命的血。朋友们好不容易拿到五份资料，以为终于看见了希望。可他们跑到一个地址，对方就先到一个地址；名单上的人越找越少，留给冬冬的时间也越来越短。

对手盯上了病床外面那几条救援路径。只要能让这些人暂时消失，医院里的冬冬就会继续等下去。

这一集的难受，正在这里：大家确实在救人，也确实找对了方向，却无法保证救援需要的条件还握在自己手里。放到企业里，同样的事情可能发生在一次勒索软件处置、一次账号恢复，或一次业务停摆之后。系统已经出事，攻击者接着去找备份、管理员和恢复流程。受害方以为自己正在离开险境，另一边却在拆掉出口。

下文有整集剧透。人物心理是依据行动作出的解读，企业安全场景是剧情类比。本集的医疗对白只用于交代故事，不作为现实医疗判断。

五张旧体检表，把所有人的注意力收拢到一处

第二季从上一季留下的伤口接着往下走。冬冬重伤昏迷，黎伟、安宁、小宝守在医院。医生解释，冬冬的血型特殊，医院血库没有相应库存。

随后，医生拿来五张旧体检表。资料来自过去的体检记录，登记的电话基本联系不上，只能照着家庭住址去找。表格有的已经隔了十几年，最近的也有三年；没有照片，又使找人多了一层不确定。

图1｜约 11:12，医生让众人寻找资料上的人，为冬冬献血。名单提供了线索，尚未证明这些人现在住在哪里、能否联系上。

五个名字很容易让人产生一种安心：至少不是毫无办法。

但看起来有五个选择，与真的有五条可用路径，是两回事。地址可能过期，人可能搬走，记录中的身份也可能被人冒用。每一张表都需要继续核实，才能从线索变成真正的帮助。

更麻烦的是，这份名单把大家的行动范围公开限定了下来。对手不必知道他们每一步怎么走，只要知道他们必须去找谁，就能提前布置。

小宝他们面对的是很强的时间压力。病床上的朋友等不起，拿到资料后自然想立刻分头跑。这个反应完全可以理解。人在危急时刻会紧紧抓住最具体的东西：一个电话、一个地址、一张纸。越具体，就越像希望，也越容易让人暂时忽略纸后面的条件。

企业处置事件时也常有这样的名单。谁有备份权限，谁能恢复账号，谁掌握应急联系方式，哪个供应商可以临时接管业务。名单并不等于能力已经就位。如果备用管理员已经离职，恢复账号绑定的手机没人维护，备份虽在却没有人知道解密密钥，纸上写着的出口，到现场可能一个也打不开。

网安对照｜把恢复联系人和恢复条件一起维护

应急联系人表要记录可以从哪个既有渠道找到本人、他能执行什么操作，以及执行还依赖哪些账号、设备或密钥。定期做实际联络和恢复演练，确认备用人员能登录、备用介质能读取、恢复结果能被业务验证。查到一个名字只是开始，不能据此把状态改成“已具备恢复能力”。

对手拿到名单，得到的远不止几个地址

救援并没有按名单顺利推进。狐狸一方也在找这些人，而且抢在他们前面把人带走。

甜甜也出现在医院。后来安宁回忆，自己在医院见过甜甜找护士。小宝据此把两件事接起来：对手很可能已经知道，他们要找的是哪五个人。

图2｜约 12:32，甜甜出现在医院走廊。后面的对白把她与护士接触，和救援信息被对手掌握联系起来；影片没有逐项展示资料是怎样交出去的。

这里需要分清，画面与判断各走到哪一步。我们能看见甜甜的接触，也能看见狐狸一方随后按目标行动；小宝对信息来源作出判断。影片没有拍出一份完整的查询、复制、交接记录，不能替它补成护士打开某个系统、导出某张表。

但攻击方向已经很清楚。名单同时标出了“这个人现在对救援很重要”。对手拿到的，是一张带着用途的关系图。

平时公开的地址，在此刻有了完全不同的含义。五个人被同一场急救联系起来，谁先找到他们，谁就可能影响冬冬的生死。攻击者不需要掌握所有医疗资料，拿到这几个关键依赖，就足够把救援变成赛跑。

这也是企业里经常被低估的一类泄露。攻击者问到的可能不是密码，而是“你们今晚谁值班”“停机时找哪家公司”“哪套备份能够恢复”“领导外出时谁代批”。孤立看，每一句似乎都不敏感。连起来看，它们把组织遇到问题后会怎样自救，交代得很清楚。

知道恢复方案的人，与被允许影响恢复方案的人，并不是同一批人。把一份内部应急表发出去，带走的可能是整个业务的退路。

网安对照｜按用途识别信息的敏感性

恢复账号、值班表、供应商升级联系人和备份位置，应按实际影响限制访问。外部人员询问某次事件的恢复进度，接待人员先从内部工单和既有通讯录确认其身份与职责，只回答他负责的部分。涉及导出完整名单、查询多个管理员或改变恢复联系方式的操作，留下操作者、查询对象、理由和批准记录；事件期间把这类查询与异常登录、恢复设置变更放在同一条时间线上检查。

一个人讲良知，另一群人替良知付代价

影片不断把两边的行动剪在一起。耿晓辉在课堂上谈生命、奉献和良知，讲自己去敬老院做义工，讲人与人之间应当互信互助。医院里，冬冬的朋友奔波找人；另一边，救援需要的人被看管起来。

这段并置很刺眼。善意的词说得越完整，画面里的事就显得越冷。

狐狸一方也有自己的理由和约束。对白说上头有指示，不能“来明的”，要把事情办得圆满。于是伤害被拆成一些看上去较小的动作：让几个人暂时待两天，把最后一个也带过去。执行者眼前不是医院里的病人，而是一次找人、一次带人、一次看守。

图3｜约 19:20，耿晓辉在课堂上谈个人修养和道德情操。影片把这番话与医院及带走献血者的行动交叉剪辑。

行为这样被拆开之后，人就更容易说服自己：我只做了我这一小步。至于这一步接上别人的那一步，会把谁逼到什么处境，可以推给“上面的安排”。

企业中的越权行为也常有这种外观。一个人只帮忙查了联系方式，一个人只重置了手机，一个人只放行了临时账号，最后一个人只按工单给了权限。每一环都能讲出一个局部理由，却没有人对整件事负责。

这时，安全团队只盯着最末端那次数据下载，很容易错过前面的准备。攻击者往往是在多次普通操作之后，才具备做最后一步的条件。

职责拆得很细，责任却留得很空。申请人提到“领导安排”，不能替代领导已经批准的证据；工作人员有查询权限，也不能自动获得把查询结果交给任何人的授权。

网安对照｜让局部操作能回到同一个请求

电话变更、密码重置、临时授权和数据导出，关联到同一事件或工单，保留申请人、受益账号和批准依据。出现同一对象连续修改恢复方式、获得额外权限、再导出数据时，跨岗位复核整条链。执行人员看到自己这一环正常，也应能看见前面是否已经发生会改变信任的动作。

救人太急，熟人的身份也会被顺手接受

最后一份资料把小宝和黎伟带到一间房子。开门的是邵庄。

这是一个足以让人松口气的瞬间。陌生名单里，终于出现一个认识的人。小宝看着表上的“汤豪杰”问，怎么名字不一样？邵庄解释，父母离婚后改过名字。

于是，一个需要核实的问题，很快被一句生活化的解释接过去。小宝的注意力回到救人：既然是认识的人，就赶快去医院；不愿意，还可以谈钱。

邵庄先说不行，又以身体不舒服为由进了厕所，让黎伟去拿药。时间越急，小宝越想把眼前的人带走，也就越容易沿着对方给出的理由移动。

图4｜约 29:34，众人向邵庄说明冬冬的情况。此前小宝已经注意到表上姓名不同，邵庄以改名解释。

直到房内传来动静，黎伟找到被绑住、堵住嘴的人，事情才翻过来。电话里他告诉小宝：邵庄是假冒的，他不是汤豪杰。

图5｜约 32:44，黎伟向小宝报告邵庄是假冒的。房内找到被控制的人，使此前的身份解释失去依据。

他们用“我认识邵庄”回答了“邵庄是不是体检表上的这个人”。两个问题被挤到了一起。

熟悉能证明曾经见过这个人，证明不了一份资料的归属，更证明不了他眼下讲的每句话。尤其当姓名不一致、照片缺失、旧联系方式又失效时，原有的熟悉感反而容易让人少问一次。

邵庄还留下了一个延时机关，随后影片解释了它怎样让被控制的人在特定时间引起注意。发现被安排得太晚：小宝他们已经把时间花在假身份上，才得到纠正。

企业里相似的请求经常来自“眼熟的人”。供应商联系人换了邮箱，领导助理替同事申请重置，老员工拿着截图说自己的账号改过名字。对方确实可能是熟人，但请求涉及的账号、资料或授权范围，还需要独立对上。

网安对照｜把人、账号和这次操作分别对齐

高风险恢复不能只凭“认识这个人”通过。通过预留的联系方式核实本人，再核对账号标识、当前归属和这次操作的范围。遇到改名、换号、旧资料与现状不符，交给负责身份资料的岗位确认。应急授权限定有效期和操作范围，执行与批准分开；身份尚未核清时，可以推进不依赖该身份的排查，但不能先交出控制权再补证据。

对手把人集中起来，小宝就顺着他们的路找过去

小宝并没有完全被牵着走。影片后半段补出，他事先已经对狐狸一方的动作作了判断。

对手若想让这五个人暂时无法献血，就会抢先找人，再把他们藏起来。既然他们也必须解决找人的问题，小宝就可以跟踪其中一路，找到集中关押的地点。

安宁承担了跟踪。这样，原本散在不同住址的目标，被对手集中到一处，反而留下了一条通往看守点的路。

图6｜约 37:09，安宁通过电话沟通跟踪进展。此前的回叙交代，小宝安排沿对手找人的路线寻找关押点。

这一步很符合小宝的习惯：先想别人为了达到目的，必须做哪些事，再利用这些事。

对手能够封住几条分散的路径，靠的是组织和集中；集中也意味着需要运输、看守、联络。人不是凭空消失的，只要行动发生，就会留下可观察的环节。

随后，小宝、黎伟和安宁来到看守点，实施营救，接触到被关押的人。这里包含真实的看守、危险和强行营救，不能把它一概美化成几句话就完成的智斗。

图7｜约 40:52，小宝等人在看守点表明来救人。镜头确认他们找到了被关押者，不能据此提前认定医院一端已经安全。

放到网络事件中，这一段能对应到对攻击链的追踪。攻击者为控制备份，需要登录管理入口；为取得恢复权限，需要修改账号设置；为维持访问，需要创建或保留某个入口。具体系统不同，留下的证据也不同，但调查应当顺着已经发生的操作，检查它依赖了哪些身份、设备和服务。

当然，企业不能照着剧情去放任真实损害。小宝把对手的行动作为线索，现实中的安全处置也可以利用证据，却要同时保护现场。确认一个恶意会话后，留存必要日志，限制会话权限、冻结危险变更，再检查关联账号。不能为了“把人看得更清楚”，继续让对方删除生产备份。

网安对照｜沿依赖追查，同时止住正在发生的损害

管理账号被盗时，除查登录源，还要检查它修改过哪些恢复设置、接触过哪些备份仓库、创建过哪些令牌。保存关键日志和变更记录后，撤销危险会话与令牌，把恢复环境放到受控入口。处置负责人明确每一步的业务影响，避免调查、隔离和恢复三拨人各做各的，反复把已经关闭的入口重新打开。

找到了人，仍不等于赶上了时间

营救刚有进展，医院的电话就来了。

另一条线里，冬冬的弟弟也受了伤。他想给哥哥输血，医生明确拒绝：他自己的身体情况不允许。弟弟仍然坚持，后来在病房里作出牺牲自己的选择。

影片用他的独白讲出兄弟之间的往事。他把冬冬多年付出看得很重，把眼前这次救人当成偿还的机会。之后，冬冬活下来，弟弟却死了。

图8｜约 42:15，弟弟坐在冬冬病床旁。后续结局确认冬冬获救、弟弟死亡；影片中的医疗处置不应被当成可照搬的现实方案。

这个结局没有让小宝的营救变得毫无价值，却打破了另一种容易出现的判断：我已解决手上的问题，所以整件事应该解决了。

找到了被带走的人，只说明关押点这一环出现转机。病人的状态、到医院需要的时间、医院里的人员和处置，都还在继续变化。救援的目标是让冬冬活下来，大家手上完成的任务，只是这个目标的一部分。

在企业事故里，这种错位也很常见。安全团队封了一个 IP，宣布攻击已阻断；运维把数据库恢复了，宣布业务已恢复；业务打开首页，看到页面能加载，也以为可以收场。可是被盗令牌可能仍有效，恢复的数据可能不是最新版本，后台任务可能仍在失败。

每个人说的都是真实的局部结果，却不一定是同一个最终结果。

冬冬弟弟的选择还让这一集多了一层沉重。人在亲近的人面临危险时，很难把风险仅当成表格里的数值。为了救眼前的人，他会把自己的代价放到后面。组织中的应急人员也会如此：停机已经几个小时，领导和客户都在催，值班人员想“先恢复再说”，可能把危险权限开得越来越大。

这份着急需要被接住。能接住它的，应当是一个随时能找到的处置负责人、一条真的走得通的应急流程，以及有人帮忙承担决定的责任。只告诉一线“别犯错”，却不给他们可用的替代路径，最后很容易把人逼向独自冒险。

网安对照｜用最终业务状态验收恢复

恢复验收同时确认业务可用、数据可信和攻击入口已经受到控制。按关键业务实际做一次完整操作，核对数据时间点、后台任务和依赖服务；检查旧会话、令牌、恢复设置及临时权限是否已清理。应急期间由明确的负责人批准风险操作，记录到期时间和回收责任，不把“一时能用”当成“可以长期保持”。

医院里留下的人，承担了所有奔波的结果

这一集最后，冬冬已经逐渐康复。他站在河边，小宝过来陪他说话。朋友还在，队伍也准备继续往前走，失去的人却不会随着一次成功行动回来。

回头再看那五张纸，最让人不安的不是纸上写错了什么。它们的内容大体有用，却太旧、太集中，又让对手知道了大家唯一看得见的希望在哪里。

很多组织防护也是如此。平时把账号保得很好，出事后的恢复却依赖同一个管理员、同一套身份系统、同一个存放位置。表面上准备了多份备份、多名联系人，实际上它们能被同一种方式一起拿走。

判断退路是否可靠，不能只数有多少个名字、多少份副本。要问：如果眼前这个入口失效，另一个入口还能独立使用吗？如果现在的身份系统受到控制，恢复环境还能从可信的设备进入吗？如果值班人员已经无法联络，还有谁能在授权范围内接手？

小宝最终找到了被藏起来的人，却没有找回已经过去的时间。这正是这一集落到安全处置上最沉的一点。

准备一条退路，要确认它在最需要的时候还走得通；完成一次处置，要确认被保护的人和业务真的已经脱险。