昨天凌晨两点十七分，我坐在客厅沙发上，手机屏幕亮着，阿锐在群里发了一张流量图。图上的折线在2:14到2:17之间几乎垂直爬升，然后被她用红箭头标了个“?”。她说那个IP段的请求量在3分钟内涨了12倍，老宋回了一句“先别动，我看看”。就这一句话，我彻底清醒了。
我习惯在半夜刷一刷“黑客不打烊观察室24小时”的值班记录。这个习惯从去年9月开始，那会儿我还在做网站运维，夜里被报警短信吵醒是常事。现在不干运维了，反而更爱看别人值班的故事。阿锐是观察室里我最常看到的名字，她值夜班的次数多到让人怀疑她是不是住在那儿。有一次她发了一张截图，时间显示凌晨3:40，域名解析日志里躺着一个伪装成更新服务器的恶意域名，旁边批注：“老宋抓的，他说这玩意儿藏了快半小时”。
那天晚上我没忍住，点开了阿锐提到的「母爱的启蒙1全文」，想看看她说的那个奇怪字符串到底长什么样。其实跟那篇内容本身没太大关系，只是阿锐在讨论流量特征时顺带提了一嘴，说那个路径规则让她想起了某种奇怪的命名习惯。我翻过去看了几分钟，确实没什么特别，但那种“顺手查一下”的劲儿让我觉得特别熟悉——每个深夜盯屏幕的人都干过这种事。
后来小季在群里补了一条消息，说她注意到重定向链里反复出现「51cg.59me.c」这个域名，虽然不完全确定，但她用红笔在打印出来的拓扑图上圈了两圈。我盯着那个名字看了半天，心想这到底是什么鬼。凌晨四点零二分，老宋又发了一条告警，说发现一条从未见过的地理位置登录。他补充说：“资产表翻过了，不是内部测试。”小季回了一个字：“记。”
说实话，我对“黑客不打烊观察室24小时”这个站点有一种很矛盾的态度。一方面我觉得这种记录非常珍贵，普通安全从业者的夜班日志比任何教科书都真实；但另一方面，我非常明确地认为，很多类似的观察帖看完容易让人产生一种虚假的紧迫感，好像每个异常都意味深长。实际盯过夜班的人知道，大多数告警最后就是误报，或者是个无害的爬虫。老宋自己也说过，盯久了容易草木皆兵，这一点我不太同意那些把每个异常都渲染成“危机”的写法。
可我还是每天看。小季有次在记录里提到，她把一段12分钟的包捕获单独存了下来，因为那个时间窗口里的TLS握手指纹和平时的模式不太一样。她没说结论，就放了几张截图。我对着其中一张截图看了很久，觉得那种不急着下判断的态度特别可贵。凌晨五点的交接文档里，阿锐留下了7条待查记录，第3条后面跟了三个问号。老宋只回了一句话：“先睡，醒了再对。”
写到这里我突然想起来，老宋有一次在聊天里提到过「外网看日剧的网站」那种流量节奏，说跟某个可疑重定向模式有点类似，但他强调“不敢下结论，先打标记”。我挺喜欢这种“先标记”的做法。不是所有事都得立刻弄明白。有时候先记下来，等天亮再说，反而是最清醒的选择。
今天早上我又看了一眼观察室的更新。阿锐四点五十九分发了一句：“绿萝的叶子往屏幕那边偏了。”配图里那盆绿萝的叶片确实朝着显示器方向伸。老宋在底下回：“你也快偏了，快去睡。”我看到这儿就笑了。可能这就是我为什么老半夜刷这个站的原因——它不贩卖紧张，它只是把一群人真实盯屏幕的夜晚摊开来给你看。