如何劫持别人的网站

去年秋天，何劫一个做外贸的持别朋友半夜给我打电话，说他的网站独立站首页被换成了一张全黑图片，上面只有一行白字：“你的何劫客户数据在我手里。”他以为是持别恶作剧，直到发现后台多了三个管理员账号，网站订单表被导出成CSV发到了他的何劫邮箱。这不是持别电影桥段，是网站真实发生的劫持。攻击者没用什么高深漏洞，何劫只是持别猜中了他图省事设的密码：公司名+2023。

劫持一个网站，网站最省力的何劫路径永远是人的疏忽。我见过太多人把WordPress后台密码设成admin123，持别或者把FTP账号密码写在便签纸上贴在显示器边框。网站攻击者根本不需要写代码，他们用现成的扫描工具批量扫IP段，找开放22端口（SSH）或3306端口（MySQL）的机器，然后拿常见弱口令字典去撞。去年一份安全报告说，全球被入侵的网站里，超过六成入口是弱密码或密码复用。你注册某个小论坛时用的邮箱密码，可能和你网站后台密码一模一样——那个论坛数据库早被拖了，你的密码就在黑客的字典里。

更隐蔽的做法是等。等网站管理员点开一封伪装成“Google Search Console 新消息”的邮件，附件是个.html文件，双击后浏览器打开一个假登录页，你输入账号密码的瞬间，数据就发到了攻击者服务器。这叫钓鱼，老套但有效。我认识一个独立开发者，他中招是因为下载了一个破解版的主题模板，压缩包里藏了后门PHP文件，叫`wp-content/themes/xxx/functions.php`里多了一行`eval($_POST['cmd'])`。这行代码让他网站变成了肉鸡，攻击者通过它上传了十几个webshell，最后把首页改成了博彩广告。

拿到权限之后，劫持才真正开始。有人直接改首页，放勒索信息或政治标语；有人悄悄加一段JavaScript，把访客重定向到钓鱼站；还有人更阴——什么都不改，只在你网站里植入一个隐藏iframe，加载恶意代码去攻击访客的浏览器。你作为站长根本不知道，直到Google给网站打上“该网站可能被入侵”的红色警告，流量掉光。我见过最损的一招：攻击者把网站数据库里的用户密码字段全部替换成明文“123456”，然后截图发到论坛上，让站长社死。

防御这事，说复杂也复杂，说简单就几条。别用弱密码，别复用密码，后台登录加个双因素认证，插件和主题只从官方源更新。我自己的做法是：把网站放在Cloudflare后面，隐藏真实IP，SSH只允许密钥登录，数据库端口不对公网开放。每周花十分钟看一遍服务器日志，找那些反复请求`/wp-login.php`的IP，直接封掉。听起来麻烦，但比半夜接到客户电话说“你网站怎么在卖假药”要轻松得多。

劫持别人的网站，技术上没有想象中那么难。难的是你愿不愿意承认：大多数被黑的人，不是输给了黑客的技术，是输给了自己的侥幸。那个外贸朋友后来换了服务器，装了安全插件，密码改成了一串连他自己都记不住、必须靠密码管理器才能登录的字符串。他说现在每次登录后台，都像在开保险柜。我觉得这样挺好，至少比被陌生人打开自家大门强。