网站被攻击的原因

去年秋天，一个做独立博客的被攻朋友半夜给我发消息：“站挂了，数据库被清空，原因首页挂了一面黑旗。网站”他那个站流量不大，被攻每天也就百来个访客，原因内容全是网站自己写的摄影笔记。他想不通——我又没惹谁，被攻攻击我图什么？原因

这大概是很多人的误区：以为只有大公司、电商、网站金融平台才会被盯上。被攻实际上，原因攻击者根本不在乎你是网站谁。他们用的被攻是自动化工具，全网扫描，原因碰到漏洞就钻。你的小站只是恰好出现在扫描列表里，就像小偷挨个拉车门，拉不开就走，拉开一辆算一辆。

那攻击到底从哪来？我翻了近两年的应急响应记录，排在前面的原因其实很集中。

最常见的是组件过时。你用的CMS、插件、主题，甚至服务器上的PHP版本，只要有一个没打补丁，就等于给攻击者留了后门。很多人建完站就不管了，后台提示更新也懒得点。攻击者专门盯着那些两三年没更新的插件——比如某个老版本的Slider Revolution，曾经爆出过任意文件上传漏洞，全网几万个站中招。你问他为什么不更新？他说怕更新了样式乱掉。结果样式没乱，站先没了。

弱口令也是个重灾区。我见过一个做外贸的客户，后台密码是admin123，数据库密码是root。攻击者用字典跑一遍就进去了，连暴力破解都算不上。更离谱的是，有人把phpMyAdmin直接暴露在公网，密码还是默认的。这就像把保险柜钥匙插在锁孔里，还贴了张纸条写着“欢迎光临”。

还有一类攻击，目标不是你的数据，而是你的服务器资源。比如有人拿你的站当跳板，发垃圾邮件、做DDoS反射节点。你发现CPU跑满、带宽异常，一查日志，全是境外IP在请求某个不存在的页面。这种叫“资源滥用型”攻击，攻击者根本不关心你网站内容，只是借你的机器干坏事。我见过一个论坛，被入侵后装了挖矿脚本，整整跑了三个月，直到机房发来流量超标通知，站长才发现。

代码写得随意，也是个大坑。很多开发者习惯直接拼接SQL语句，或者把用户输入直接输出到页面。一个简单的?id=1' OR '1'='1就能把整个用户表拖走。XSS更隐蔽——攻击者在评论区留一段脚本，管理员一打开后台，cookie就被偷了。这些漏洞不是高深技术，就是基本功没打好。但偏偏很多外包项目赶工期，能跑就行，安全？那是下一期的事。

另外，利益驱动始终是核心。黑产链条里，你的网站可以变成博彩页面、色情引流站、虚假购物页面。攻击者批量拿站，批量挂马，靠搜索引擎的收录量赚钱。一个日IP几百的小站，被挂上赌博链接后，每个月能带来几十个注册，按人头算钱。你眼里的“破博客”，在别人眼里是能下蛋的鸡。

最让人无奈的是，有些攻击纯粹是“顺手”。比如某个脚本小子刚学会用工具，随便找个站练手。或者竞争对手看你排名上来了，花几百块买个攻击服务。甚至有人只是因为心情不好，随机选个站发泄。这种没有明确目的的破坏，反而更难防——你永远不知道对方什么时候收手。

说到底，网站被攻击不是因为“你做了什么”，而是因为“你没做什么”。没及时更新、没改默认密码、没过滤输入、没限制后台访问。攻击者像水一样，哪里低洼就往哪里流。你不需要比所有网站都安全，只需要比隔壁那个更好欺负就行。

我那朋友的博客后来恢复了，但他把评论功能关了，后台加了二次验证。他说：“以前觉得安全是负担，现在觉得安全是底线。”这话听着挺对。网站就像房子，你可以不装防盗门，但至少得把窗户关上。

很赞哦!（853）