2021年，何黑一个16岁的网站英国少年坐在自家卧室里，用一台普通笔记本电脑和几个开源工具，何黑在两周内拿到了某家电信公司后台的网站管理员权限。他没用什么高深技术，何黑只是网站发现对方一个测试服务器上跑着没打补丁的Apache Struts。这事后来上了法庭，何黑但真正让我在意的网站是：他做的每一步，网上都有现成的何黑教程。

黑掉一个网站，网站绝大多数时候不是何黑电影里那种狂敲键盘、屏幕跳绿字。网站它更像一种耐心活——找缝。何黑缝往往不在代码写得多烂，网站而在人有多懒。何黑

最省事的入口是登录页。很多人图好记，密码设成公司名加123。攻击者拿一份常见密码字典，几百个词轮着试，总有一个能中。这叫撞库，不高级，但有效。我见过一个案例，某小电商后台密码是admin888，从上线到被拖库，一共撑了四天。

缝是怎么被撬开的

比猜密码更隐蔽的是SQL注入。简单说，就是网站没把你输入框里的内容当“文字”看，而是当“命令”执行了。你在搜索框里敲个单引号，页面报错——这基本就是在喊“我这儿有洞”。再往下，构造一条语句，数据库里的用户表、订单表，甚至服务器文件，都能被一行行读出来。2017年那会儿，国内不少中小型CMS系统都栽在这上面，一晚上能扫出几千个站。

还有一种常见手法叫XSS，跨站脚本。攻击者往评论区塞一段JavaScript，别人一打开页面，脚本就在对方浏览器里跑起来，偷偷把cookie发到攻击者服务器。拿到cookie，很多时候就等于拿到了登录态。你甚至不用知道密码。

文件上传功能也是重灾区。网站允许你传头像，但没检查文件类型。你把一个.php文件后缀改成.jpg传上去，再想办法让服务器按php解析它。一旦成功，你就有了一个webshell——相当于在别人服务器上开了个后门，想干嘛干嘛。

拿到权限之后呢

很多人以为黑掉网站就是改首页、挂黑页。那是最没技术含量也最容易被发现的玩法。真正有经济动机的人，第一步是提权——从普通用户变成root，从单个网站跳到同服务器上其他站。第二步是留后门，可能是隐藏账号，可能是计划任务，也可能是改掉某个正常文件的校验值。第三步才是变现：挂博彩广告、挖矿、或者把数据库打包卖给专门收数据的人。

我聊过一个做安全应急的朋友。他说最头疼的不是攻进来，是攻进来之后你根本不知道对方干了什么。日志被清了，后门藏得比正常代码还像正常代码。有一次他们花了三周，才在一个favicon.ico文件里发现夹带的恶意载荷。

防的人在想什么

网站被黑，十次里有八次是因为该打的补丁没打，该改的默认配置没改。框架出了漏洞，官方发了公告，但站长觉得“我这小站没人盯”。攻击者恰恰最喜欢这种站——成本低，风险小，拿下来还能当跳板。

WAF有用，但别指望它万能。绕WAF的手法更新得比规则库还快。真正靠谱的是最小权限原则：数据库账号只给增删改查，不给drop；上传目录不给执行权限；后台登录加二次验证。这些事做起来不酷，但能挡掉九成以上的自动化扫描。

最后说一句实在的：写这篇文章不是教人使坏。只是你得知道门是怎么被推开的，才知道该往哪儿上锁。那个英国少年后来被判了社区服务，法官说了一句话——技术本身不分对错，用的人分。

(责任编辑：知识)