《寒灯训算》墨聿舟

9、地下三层 追查异常记

　　B3服务器仓库在信息楼地下三层，电梯只到地下一层。

　　下午两点四十，六个人在消防楼梯口集合。贺承远带着学院授权书，实验中心管理员罗老师拎着设备封条和便携镜像盘，陈以宁负责时间记录，林疏月负责现场照片。许砚知和沈砺川站在最后，谁都没有碰那把临时钥匙。

　　授权书写得很清楚：检查时间四十分钟；设备只读启动；不得接入外网；不得执行追踪、恢复或删除操作；发现与学生个人信息有关的内容立即停止，由管理员接管。

　　沈砺川把每一条都读完，问罗老师：“如果系统自动执行启动脚本？”

　　“先断网，再启动。仍自动执行就记录，不拦截。”

　　“如果脚本会覆盖日志？”

　　“你不能假设它会，也不能为了防止假设中的覆盖先改系统。”罗老师把授权书翻到背面，“所以我们带了写保护器。”

　　沈砺川点头，没有再争。

　　许砚知在旁边记录同行人员和设备编号。沈砺川看了一眼他的表格：“第五次关键操作？”

　　“还没开始。”

　　“我已经忍住三个建议。”

　　“忍住不是通过，说明才是。”

　　“好。建议一，先拍机柜指示灯；建议二，查远程唤醒缓存；建议三，进入系统前取当前内存。”

　　罗老师听见，回头说：“前两个可以，第三个超出授权。内存采集会改变设备状态。”

　　沈砺川直接在自己的检查表上划掉第三项。

　　地下三层没有窗。消防门一打开，潮冷的空气里混着金属、旧塑料和除湿剂的味道。仓库尽头只有一排应急灯，机柜大多贴着报废标签，B3-07却亮着一枚极弱的绿色指示灯。

　　资产卡上写：三年前断电封存。

　　指示灯说明至少待机电源仍在。

　　罗老师先拍照，随后用钳形表测量电流。沈砺川蹲在机柜外，没有伸手。他认出那台小型服务器的外壳，侧面有一道斜划痕，像被机柜门夹过。

　　“你以前来过？”罗老师问。

　　“事故后第二天。”

　　“有授权吗？”

　　“没有。我没进去，门口被赵老师拦了。”

　　“赵嵩？”

　　“对。”

　　罗老师在现场记录里加了一行，没有评价。

　　正式开机前，罗老师要求所有人在现场表上签名。签名顺序按进入仓库的先后排列，沈砺川写到自己名字时停了一下。

　　三年前那份公开责任记录里，他的名字也出现在一串人后面。区别是当时没人告诉他名字会被怎样使用，今天每个人都能看见这张表的用途：证明谁在场、谁没操作、谁承担哪一段记录。

　　他签完，把笔递给许砚知：“别写缩写。”

　　“本来就写全名。”

　　“提醒一下。”

　　许砚知写下三个字，笔画清楚，没有连写。罗老师给表格拍照后装入透明夹，贴上当前时间。

　　开机前的机柜检查持续了七分钟。电源线外层有近期擦拭痕迹，网口虽已拔掉，卡扣却没有积灰；后置USB口插着一个小型硬件密钥，标签写“LOCAL-CA”。罗老师没有拔，只拍摄序列号。

　　“这就是本地证书终端的硬件根？”沈砺川问。

　　“可能是授权密钥，也可能只是普通加密狗。”罗老师说，“没查型号前不要命名。”

　　许砚知在记录里写“疑似硬件密钥”，把“证书”两个字留到型号核验后。

　　沈砺川站在他旁边，忽然低声说：“你知道我以前最烦哪种人吗？”

　　“现在不适合聊天。”

　　“就一句。最烦每个词都要修的人。”

　　“现在呢？”

　　“现在觉得少一个词，可能少背三年锅。”

　　许砚知没有转头，只把设备序列号抄完整：“那就继续看。”

　　设备断开网络后接入写保护器。启动画面比想象中平静，老旧Linux系统显示文件系统存在未正常关机标记，最近一次启动时间正是上周四凌晨。登录界面没有要求密码，因为管理员使用了离线维护介质进入只读模式。

　　许砚知站在屏幕左侧，确保录像能同时拍到命令和操作者。真正敲键盘的是罗老师，沈砺川只能口述建议。

　　第一条查询远程唤醒日志。记录显示B3在上周四、昨天下午和今天早上共被唤醒三次。请求源都来自A401网段，但设备MAC地址不同：第一次来自旧网关，后两次来自一台新接入终端。

　　“能查新终端资产号吗？”林疏月问。

　　罗老师说：“本机只有MAC，回去找网络中心。”

　　第二条查询SSH登录。上周四登录使用未知公钥，昨天和今天使用同一把新钥匙；公钥指纹与陆星迟邮件提供的第三条一致。登录用户不是admin_view，而是ROOT-LAB。admin_view只是ROOT-LAB调用的网页角色。

　　许砚知在记录里把三层关系重新写清：人使用密钥，密钥登录服务账号，服务账号调用角色权限。

　　沈砺川盯着那行链路：“当年所有人只看最后一个名字。”

　　“现在先看完整链条。”许砚知说。

　　他们继续检查系统任务。ROOT-LAB每次登录后都会执行同一个脚本：export_identity_queue.sh。脚本从旧数据库导出身份队列，再把结果发送到两个位置——学院导引系统和新生程序赛平台。

　　“这就解释了0719文件。”陈以宁说。

　　“不完全。”许砚知指向参数，“脚本默认导出全部记录，昨天那份文件只包含十三个人。有人另外传了筛选条件。”

　　参数历史保存在shell审计中。筛选条件是team=校验失败，输入时间就在他们报名成功后四分钟。命令末尾带着一个审批标记：ZS-override。

　　仓库门外忽然传来钥匙碰撞声。

　　六个人同时回头。赵嵩推门进来，身后跟着学院办公室的一名老师。他显然已经知道检查行动，脸色并不好看。

　　“谁批准学生接触封存服务器？”他第一句话问罗老师。

　　罗老师把授权书递过去：“实验中心、学院教学办和信息中心三方批准。学生不操作，只旁观。”

　　赵嵩扫了一眼，目光落到沈砺川身上：“又是你。”

　　沈砺川的肩膀明显绷紧。

　　“赵老师，”贺承远说，“当前正在取证，请不要影响现场。”

　　“我只是提醒你们，三年前就是他擅自改权限，把一个普通展示故障闹成停项。”赵嵩说，“现在再让他参与，很难保证不会因为个人情绪误导判断。”

　　沈砺川嘴角动了一下，像要笑，又没笑出来。他看向屏幕，手却已经握紧。

　　许砚知问：“您说的擅自改权限，具体是哪条命令？”

　　赵嵩转向他：“你是新生，不了解当时情况。”

　　“所以我在问记录。”

　　“记录不是全部。”

　　“那请补充可以核验的部分。”

　　赵嵩的神色冷下来：“你们现在连完整授权范围都没弄清，就在这里追责？”

　　“授权范围在您手上。”许砚知指向那张纸，“我们当前只读取日志。沈砺川没有碰设备，也没有下结论。您刚才已经把他描述成会误导判断的人，请说明依据，或者将这句话从现场记录中撤回。”

　　仓库里只剩服务器风扇低沉的转动声。学院办公室老师皱了皱眉，似乎没想到一个大一学生会当面提出这样的要求。

　　赵嵩说：“你在替他说话？”

　　“我在要求现场描述和事实对应。”

　　沈砺川侧过脸看许砚知。他没有插话，也没有用玩笑替许砚知缓冲。那一刻他若开口，赵嵩很容易把争论重新解释成“情绪反应”。所以他站在原地，逼自己把手一点点松开。

　　贺承远接过话：“赵老师，您刚才的陈述会进入现场记录。若您认为沈砺川有具体违规，请提供时间和操作；若没有，我们继续检查。”

　　赵嵩没有撤回，也没有继续。他站到门边，示意检查按授权进行。

　　罗老师查询ZS-override的定义。系统配置里，ZS不是姓名，而是“专项审批”的英文缩写；审批码可以由教学办管理员生成。仅凭这串字符仍不能把命令归到赵嵩。

　　沈砺川看到结果时，脸上没有失望，反而低声说：“差一点又把缩写当人。”

　　许砚知在记录里加上：ZS-override不可直接对应个人。

　　赵嵩看了一眼，没有说话。

　　赵嵩站在门边期间，现场每个人的动作都变得更谨慎。罗老师每输入一条命令都会先念出来，陈以宁重复时间，林疏月拍下终端和墙上时钟同框的照片。许砚知发现赵嵩一直看着录像清单，却很少看账号日志。

　　“您知道CL-TAPE-03吗？”沈砺川问。

　　这是他进入仓库后第一次直接向赵嵩提问。语气没有挑衅，只问物件。

　　赵嵩答：“旧项目介质很多，我不记编号。”

　　“事故后您是否取过录像？”

　　“我参与过材料整理。”

　　“取出后交给谁？”

　　“已经三年，我需要查记录。”

　　沈砺川点头：“请查。”

　　他没有把“你明明记得”说出来，也没有追着问。许砚知在现场表上记录原话：赵嵩承认参与材料整理，无法当场确认介质流向。

　　赵嵩看见他落笔，忽然说：“学生把每句话都当证据，合作就很难继续。”

　　许砚知回答：“这次是正式取证现场。普通交流不会这样记录。”

　　“你分得清？”

　　“正在学。”

　　赵嵩没有再说话。

　　检查剩最后十二分钟。罗老师打开public_display目录，只读列出文件。里面有当年公开页面、导出名单、展示模板和一份视频清单。视频本体不在服务器，只留下文件名、大小和哈希。

　　清单显示事故当晚A401有四段录像：十九点到二十点、二十点到二十一点、二十一点到二十二点、二十二点到二十三点。第三段文件大小为零，状态标注“转存离线介质”。

　　“离线介质在哪？”贺承远问。

　　罗老师继续查转存登记。记录是一张扫描表，介质编号CL-TAPE-03，取用地点A401，取用人签名只有两个字母：ZS。归还栏空白。

　　这一次谁都没有直接看赵嵩。

　　许砚知问：“签名是否有完整人员映射？”

　　“需要查当年的介质登记册。”罗老师说，“本机没有。”

　　赵嵩开口：“当年用ZS缩写的人不止我。专项组、值守组都用过。”

　　“所以需要登记册。”许砚知说。

　　他没有把怀疑说出来，反而让那张空白归还栏显得更重。

　　倒计时到五分钟时，罗老师导出日志元数据和文件清单，生成哈希，封存镜像。沈砺川提出最后一个问题：“能否查看新公钥的证书申请编号？”

　　授权允许读取账号元数据。罗老师查到申请编号，却发现申请人字段为空，审批节点为A401-LOCAL。证书不是通过学院在线系统签发，而是在A401的一台本地注册终端上生成。

　　“那台终端现在在哪？”林疏月问。

　　赵嵩说：“A401改造后拆了。”

　　罗老师摇头：“资产系统显示还在房间内，只是未联网。”

　　时间到。系统关机，封条重新贴上。走出B3时，沈砺川一直没说话。到地下一层平台，他才停下来：“刚才谢谢。”

　　许砚知知道他说的是面对赵嵩那一段。

　　“我没有替你辩护。”

　　“你让他拿记录。”

　　“因为现场不能用标签代替事实。”

　　“如果他说的那条违规命令真的存在呢？”

　　“那就写存在。”许砚知看着他，“你做过什么，和别人能不能随意定义你，是两件事。”

　　沈砺川靠在消防门旁，许久才点头：“我记住了。”

　　走上地面后，阳光让所有人短暂地眯了眼。赵嵩和学院办公室老师从另一侧离开，没有与他们同行。沈砺川站在台阶下，目光追着那两个人的背影，直到许砚知叫他名字。

　　“刚才为什么没反驳？”许砚知问。

　　“反驳什么？”

　　“他说你擅自改权限。”

　　“我确实改过。只是目的和后果没有他说得那么简单。”

　　“你可以说明。”

　　沈砺川把授权书副本折好，放进文件夹：“当时你在问他具体命令。那是我三年前应该问的问题。我一开口，他就能把现场重新变成我和他吵架。”

　　“所以你让别人替你问？”

　　“不是替。”沈砺川看着他，“是你问得比我准。”

　　许砚知没有接受这个说法：“准确不应该只由我负责。下次你可以先说事实，再说感受。”

　　“比如？”

　　“‘我执行过chmod，但撤回的是共享写权限；我当时愤怒，但愤怒不等于命令没有边界。’”

　　沈砺川重复了一遍，笑意很淡：“听起来像口供训练。”

　　“是解释训练。”

　　“那你呢？赵嵩问你是不是替我说话，你为什么不直接说是？”

　　许砚知停了一下。

　　他当然是在替沈砺川守住解释权。可直接说“是”，容易把争论压成私人立场，好像事实只因为关系才值得被准确描述。

　　“因为现场先处理记录。”他说。

　　“离开现场以后呢？”

　　台阶旁有学生骑车经过，车铃连续响了两声。许砚知看向沈砺川：“离开以后，我也不接受他那样说你。”

　　沈砺川没有马上接话。他把文件夹换到另一只手，低头检查封口是否完好。过了几步，才说：“这句话可以不用写进记录。”

　　“本来也不会。”

　　“我知道。”

　　两人回到A307整理材料。许砚知把B3发现拆成六条，每条都标明“已证明”和“未证明”。沈砺川负责重现命令时间线，没有擅自补上任何人名。两人第一次在最接近赵嵩的时候，反而比以前更克制。

　　晚上九点，罗老师发来网络中心的初步回函：最近两次唤醒B3的新终端MAC，登记位置确实是A401。资产名称为“本地证书注册终端”，上周刚做过一次维修。

　　维修申请人栏没有姓名，只有工号。

　　陈以宁把工号输入学院通讯录。搜索结果跳出来后，她没有直接念，先把屏幕转向贺承远。

　　工号属于学院办公室的一名行政助理，不是赵嵩，也不是任何寒灯旧成员。可维修单的审批人一栏，清楚写着：赵嵩。

　　这仍不能证明他执行了命令，却足以证明他知道那台终端在上周恢复了工作。

　　档案室没有直接把原册交出来。扫描件模糊得无法确认第二个字，贺承远申请现场查阅，四个人在晚上七点赶到行政楼一层。

　　负责档案的老师把一本厚重的介质登记册放在阅览台上，要求不许拍整页，只能在批准范围内记录对应编号。纸页边缘发黄，装订线附近有多次翻阅留下的黑印。CL-TAPE-03位于三年前十月的最后一页，取用人姓名被一枚蓝色归档章压住大半。

　　林疏月用侧光照明，笔画从章印下显出来。第一个字是赵，第二个字右侧像“山”，但仍不够完整。取用理由写着“故障复盘”，批准人栏是空的。

　　“能查同一页其他签名，比较笔迹吗？”许砚知问。

　　档案老师同意他们查看相邻三页。赵嵩在另一条设备领用记录上签过完整姓名，第一字起笔和CL-TAPE-03一致，第二字的收笔也高度相似。

　　沈砺川低声说：“就是他。”

　　陈以宁立刻提醒：“高度相似不等于笔迹鉴定。我们只能写疑似同一签名。”

　　沈砺川吸了口气，把已经打开的记录文档改成“取用人签名疑似赵嵩”。

　　归还栏旁边还有一个很浅的铅笔记号：A401 cabinet 2。档案老师说这可能是当年管理员补写的存放位置，不属于正式登记。

　　“所以介质可能一直在A401第二号柜。”林疏月说。

　　“也可能只代表最初计划放在那里。”许砚知说。

　　他们申请查看当年的柜体盘点表，档案室没有电子版，需要次日从纸质库调取。贺承远把请求加入正式流程，没有让任何人晚上去A401找柜子。

　　离开阅览台前，沈砺川又看了一眼那行被章印压住的名字：“如果当年有人愿意把取用和归还都写完整，很多事不会拖到现在。”

　　档案老师合上登记册：“记录不是写了就有用。要有人检查空白为什么一直空着。”

　　这句话让四个人都没接话。寒灯旧案里最危险的也许不只是有人修改了字段，还有无数本该追问、却被默认可以以后再补的空栏。

　　与此同时，介质登记册的扫描件从档案室发来。CL-TAPE-03取用人签名不是两个字母，而是一个被扫描裁掉大半的完整姓名。把图像旋转后，剩下的笔画露出来：第一个字确实是赵，第二个字只有左半边。

　　归还栏依旧空着。

　　录像缺失的四十七分钟，可能从未离开A401。

　　贺承远当晚申请暂停A401一切非必要使用。学院只批准到次日听取会结束，理由是房间仍承担设备存放功能。这个有限的结果让沈砺川不满，却没有让他去守门。他和许砚知分别保存批准文件与驳回部分，明确“暂停到何时”和“哪些行为仍允许”。

　　许砚知在台账最后写：下一步不是闯进第二号柜，而是确认柜体盘点、介质封存责任和听取会授权。沈砺川在后面补：若发现介质，先拍位置，不自行播放。

　　两个人分别签名。签完后，沈砺川说：“我现在看到柜子，可能还是会想立刻打开。”

　　“想法不用伪造。”许砚知合上台账，“动作要受约束。”

　　这一次，沈砺川没有把约束理解成不信任。

　　陈以宁在离开前又检查了一遍暂停通知，指出其中“非必要使用”没有定义。若有人以设备盘点为名进入A401，现有通知并不能阻止。

　　许砚知把这个漏洞发给贺承远，请求补充“任何开门行为必须两人到场并录像”。学院没有完全接受，只同意门禁改为双人刷卡，并由实验中心保存进出记录。

　　“不是最严的版本。”沈砺川说。

　　“但比原来多一层可核验条件。”许砚知回答。

　　他们把未获批准的要求也记在台账里。将来若A401再次发生异常，至少能说明他们事前提出过什么、制度接受了什么、又拒绝了什么。责任边界不再只在事故以后追写。

　　沈砺川看完新增记录，第一次主动问陈以宁：“还有没有模糊词？”

　　陈以宁圈出“必要”“特殊情况”“经批准”三处：“明天听取会继续问。”

　　“好。”沈砺川说，“这次先把空白问在事故前。”

　　陈以宁把三处模糊词列进听取会问题单，没有替学院补定义。那张问题单成为他们离开A307前最后保存的文件，也成为第二天必须逐项追问、不得跳过任何项的边界清单。