周牧之撤稿后的第二周，谢临昼做了一件她很久没有做过的事——登录学校的实验管理系统。不是因为她需要用，而是她想确认一件事：她的账户是否还被“冻结”。她输入工号和密码，页面加载了十几秒，跳出了熟悉的界面。账户还在，但权限被压缩到了最小。她只能查看个人信息和提交研究进展报告，不能访问任何实验数据、仪器预约或试剂订购模块。

她点开“个人资料”页面，浏览了一下，正准备退出，忽然注意到页面底部有一行不起眼的小字：“最后登录时间：2016年4月18日 23:14:07。”今天已经是4月25日。七天前，有人用她的账户登录过。不是她。

她的手指在触控板上停了一下。她点开“账户安全”页面，查看登录记录。系统显示过去三十天内的登录记录——她自己的登录有三次，都是在本机IP。还有一次登录，时间就是4月18日23:14，IP地址是10.3.2.88。这个IP不在实验楼B座，也不在A座，而是在行政楼的网段。行政楼，科研处所在的位置。

她截了图，保存到加密文件夹。然后打开网络管理界面，查询这个IP对应的设备信息。结果出来了：设备类型：服务器，设备名称：SR-RA-Server，所在位置：行政楼四层，使用部门：科研处。科研处的服务器。有人用她的账户，从科研处的服务器上登录了实验管理系统。不是黑客攻击，因为黑客不需要用她的账户。用她的账户登录，说明这个人有她的密码。密码只有她自己知道。但她的密码被泄露了。不是因为她不小心，而是因为系统本身不安全。系统管理员可以重置任何用户的密码。

她退出系统，清除了浏览记录，合上电脑。然后再次登录，这次不是看个人信息，而是看系统日志。但她的权限不够——系统日志需要管理员权限。她点开日志查询界面，输入了时间范围4月18日23:00到23:30，然后点击查询。系统弹出一个红色的提示框：“您的账户无权执行此操作。”

她试了另一种方法——通过一个公开的API接口查询。她在地址栏里输入了一串代码，试图绕过权限验证。这是她在上一世学会的一个小技巧——实验管理系统的API有一个漏洞，可以通过修改请求参数获取部分日志信息。她试了三次，第三次成功了。

页面返回了一段残缺的JSON数据。不完整，很多字段是空的，但有一行记录让她全身的血液凉了一瞬。时间：2016年4月18日 23:17:33。操作：SELECT * FROM experiment_data WHERE user_id=‘XLZ2015’。用户ID：XLZ2015——她的账户。IP：10.3.2.88。操作内容：查询了她的所有实验数据。但这不是最可怕的。最可怕的是，这条记录的“操作者ID”字段不是她的ID，而是另一个ID：SYS_ADMIN_01。系统管理员账户。有人用系统管理员的权限，重置了她的密码，登录了她的账户，查询了她的数据，然后退出了。操作结束后，系统管理员的登录日志被删除了，只剩下这条残缺的记录——因为API的漏洞，它没有被完全清除。