渗透官网

去年十一月，渗透官网我在一个安全论坛上看到有人贴出一张截图：某地级市住建局的渗透官网官网首页，底部备案号被改成了一个赌博平台的渗透官网链接。页面其他内容纹丝不动，渗透官网新闻列表照常更新，渗透官网领导视察照片还在轮播。渗透官网管理员大概两周没发现。渗透官网

这种事不稀奇。渗透官网官网被渗透，渗透官网多数时候不是渗透官网黑客有多高明，而是渗透官网后台太旧、密码太懒、渗透官网没人管。渗透官网我后来自己去翻了几个县级政府网站的渗透官网源码，发现有些还在用2014年停更的渗透官网CMS，后台登录路径直接写在robots.txt里。等于把钥匙插在门上，还贴了张纸条告诉你门在哪。

入口往往比想象中蠢

一个做渗透测试的朋友跟我讲过他的常规操作。拿到目标官网域名，先跑一遍目录扫描。十次里有三次能直接翻到/admin或者/manage这样的后台入口。再试几组弱口令——admin/admin、admin/123456、guanliyuan/guanliyuan。他说某次试到第三个就进去了，后台里躺着两千多条市民投诉信，包含姓名、电话、身份证号。

更离谱的是上传漏洞。有些官网的“通知公告”模块允许上传附件，但只在前端校验文件后缀。抓包改成.jsp或者.php，服务器照单全收。传个webshell上去，整台服务器就姓别人的了。

挂马、跳转、薅流量

渗透进去之后干什么？我见过几种典型玩法。一种是挂暗链——在页面底部加一堆隐藏的<a>标签，指向博彩或色情站点。普通访客看不见，但搜索引擎爬虫能抓到，相当于用政府域名的权重给黑产做SEO。另一种是插跳转脚本，判断访问来源，如果是移动端就跳到赌博APP下载页。PC端正常显示，管理员用电脑检查根本看不出问题。

还有更隐蔽的：只在特定时间段触发。比如凌晨两点到五点，访问官网自动跳转。那个时间段管理员在睡觉，等白天上班打开一切正常。这种“定时马”能存活好几个月。

为什么总是官网

政府官网、高校官网、中小企业官网，本质上是同一类东西：对外展示窗口，技术投入极低，维护外包给便宜的建站公司，建完就没人碰了。服务器可能还在用Windows Server 2008，PHP版本是5.3，数据库密码是root。渗透成本低到令人发指。

我认识一个白帽子，他专门给县级政府网站做漏洞众测。他说最夸张的一次，某官网的后台数据库可以直接通过URL参数注入，他写了个脚本，半小时跑出了整个库的表结构。他没拖数据，只给管理员留了张纸条在桌面：你们被渗透了，请联系我。

不是技术问题

说到底，官网被渗透，根子上是管理问题。没有定期更新补丁，没有强密码策略，没有日志审计，甚至没有专人负责。很多单位觉得“官网就是个门面，又不放核心数据”，但门面被人换了招牌，丢的是公信力。

我自己的习惯是，看到任何一个官网，先扫一眼底部备案号和版权年份。如果版权还停在2020年，服务器大概率也没怎么动过。这种站，渗透测试都不用太费劲。当然，我不会真去动它——但黑产可不会这么客气。

下次你打开某个官网，发现页面加载变慢、底部多了奇怪链接、或者手机访问时跳转到陌生页面，别急着关掉。那可能不是网络问题，是有人已经进去过了。