第111章 关机窗口(2/3)

首发：~第111章 关机窗口

信息科这边也同步记录了这段语音的转发链。罗工看了一眼元数据，发现语音并不是通过常见社交软件转发，而是通过一个“企业通讯”类工具发送的临时语音消息。这说明对方在尝试绕开公众侧的拦截算法，用更封闭的工具做渗透。

“他们在找缝。”罗工说，“缝越小，他们越会用更窄的管道。”

纪检联络员没有急：“管道窄，意味着样本更珍贵。只要拿到发送端的组织结构，就能顺藤摸到‘小组长体系’和‘线下协调’。他们的组织控制会暴露。”

周工补了一句：“抢窗说明他们怕窗。怕窗说明我们开窗开对了。”

---

###3）密钥管理服务：真正的“终止键”在授权里

上午九点四十，密钥管理服务（KMS）协查回传了第一批审计摘要：系统密钥不是一把钥匙，而是一套权限链。密钥有“创建者”“轮换者”“授权者”“使用者”，每个动作都留有审计项，且存在强制的“二人复核”机制。

这套机制原本用于合规，现在成了对方的枷锁——二人复核意味着至少两名关键角色参与过控制面。参与过，就会留下名字、设备指纹、登录位置、时间窗。

罗工把审计项一条条投到屏幕上，声音压得很低：“这里出现了两个高频账号，一个负责轮换，一个负责授权。轮换账号的登录位置多数在外地住宅宽带段；授权账号的登录位置多次命中同城的一个小型IDC机房。”

周工盯着“IDC机房”四个字：“这就解释了他们为什么能那么稳定——共享办公只是跳板，真正稳定运行靠机房。机房才是系统的心脏。”

纪检联络员迅速定下两条线：

*线一：外地住宅宽带对应的发布端，结合个体户实名链继续收口；

*线二：同城IDC机房，锁定服务器租赁主体、机柜号、入场记录、远程管理平台账户。

“关机要关心脏。”她说，“跳板掐了只能让他们喘不上气，心脏不关，他们总能换个跳板复活。”

周工点头：“关机窗口要开在机房里。”

系统提示闪动：

【KMS审计：二人复核=至少两名关键角色】

【高频账号：轮换（外地住宅宽带）/授权（同城IDC机房）】

【下一步：锁IDC心脏，关机不可逆】

---

###4）机房线：没有冲撞，只有“拔掉接口”

中午十二点二十，线下组抵达那家小型IDC机房。不同于共享办公的松散，这里规则严密：进出需登记、身份证比对、安保陪同、机柜封条。对方也许以为“合规”能保护自己，却忘了合规同样意味着“记录完备”。记录越完备，越难赖账。

机房管理员翻出近三个月的入场记录，指着一条反复出现的名字：“这个人每周都会来两次，停留时间不长，通常十五分钟到二十分钟，像来换设备或做例行检查。他的入场理由写的都是‘维护业务系统’。”

线下组没有问“业务系统是什么”，只按流程比对：该人入场时间与KMS授权账号的登录时间窗高度重合；他的手机MAC地址曾多次出现在机房访客Wi-Fi记录里；而这条MAC地址又与聚合支付后台的登录设备指纹存在关联。

“设备指纹对齐了。”线下组汇报。

纪检联络员只回一句：“按封存流程走，不要惊动机房其他客户。”

真正的关机不是“断电”，而是“拔掉接口”。线下组在机房配合下对涉案机柜进行封存：先拍照、再核验封条、再固化远程管理平台日志、再做镜像、最后才做物理断开。整个过程没有吵闹，没有拉扯，只有一连串标准动作把系统的血管逐段夹紧。

同时，信息科这边执行“默认拒绝”策略的升级：核验窗口所需流量放行，其余全部拒绝。不是为了报复，而是为了保证返还系统的稳定——把合法通道稳定运行，把非法通道彻底失效。

周工盯着流量图，看到非法回调请求像潮水退去一样下降，心里那根绷了很久的弦终于松了一点：“这才像关机。关的是接口，不是情绪。”

---

###5）对方的最后一招：制造“假关机”

下午两点五十，罗工发现一个异常：某个落地页域名突然从国内解析切到境外，页面内容改成“系统维护中，请稍后”。这看似无害，却极容易被包装成“返还崩了”。更阴险的是，这个页面被嵌在多条旧短信链接里，一旦有人点开，就会以为“官方维护”，进而焦虑扩散。

“假关机。”罗工说，“他用‘维护中’做烟幕。”

纪检联络员立刻做两件事：

第一，在核验窗口的状态码页面加一行极短的提醒：“任何‘维护中’页面不代表返还暂停，返还以状态码为准。”

第二，要求服务商对该域名做风险提示与拦截，并将解析变更记录纳入毁证链。

护士长这边同步收到两位家属的私信：“我点开链接显示维护中，是不是没了？”