2019年夏天，模拟一个叫“小马”的黑客年轻人坐在出租屋里，用一台二手ThinkPad打开了某地方论坛的入侵首页。他不是网站要发帖，而是模拟盯着URL里那个`?id=1024`的参数看了很久。他试着改成`1025`，黑客页面刷新，入侵出现了一个没公开的网站版块。再改成`1026`，模拟又出现一个。黑客他就这样翻了十几页，入侵直到看见一个写着“管理员后台”的网站链接。这就是模拟最原始的越权访问——没有技术含量，纯粹是黑客开发人员忘了做权限校验。

很多人以为黑客入侵需要高深的入侵技术，其实大部分真实案例里，漏洞往往简单得让人发笑。比如某电商网站，登录后的跳转地址是`redirect=user.php`。有人把它改成`redirect=http://evil.com`，网站就乖乖把用户往钓鱼页面送。这叫开放重定向，开发时图方便，上线后就成了入口。

SQL注入更典型。你打开一个新闻页，地址是`news.php?id=5`。正常请求是“给我第5条新闻”。但如果你输入`news.php?id=5' OR '1'='1`，数据库会把整张表都吐出来。我见过一个政府网站，用这招能直接读到管理员密码的MD5值。更狠的是`UNION SELECT`，把用户名、密码、手机号全拼到页面上显示。开发人员当初写代码时，大概觉得“用户不会乱改地址栏”。

跨站脚本（XSS）则是另一条路。某论坛的搜索框，你输入``，回车，弹窗出来了。这意味着任何访客只要搜索特定关键词，浏览器就会执行你写的JS。有人用这个偷Cookie，有人直接弹窗挂马。最讽刺的是，很多网站过滤了`