怎么破解一个网站

去年秋天，破解一个做外贸的个网朋友半夜给我打电话，说他的破解独立站被人挂了博彩页面。Google搜索结果里他的个网品牌词下面跟着一堆“澳门线上赌场”的标题。他问我：这算被黑了吗？破解我说算，而且是个网最低级的那种——攻击者根本没碰他的服务器，只是破解往他的WordPress评论框里塞了几万条垃圾外链。他松了口气，个网又有点不服气：“那要是破解真有人想搞我，能搞到什么程度？个网”

这个问题我听过太多次。大多数人嘴里的破解“破解网站”，其实分三个完全不同的个网层次，混在一起聊就永远聊不明白。破解

第一层：猜密码和找后门

最原始也最有效的个网手段。很多网站的破解后台地址是 /admin、/wp-login.php 或者 /manager，攻击者拿一个字典跑几万次登录请求，总能撞上几个用 admin123 当密码的。我见过一个政府下属单位的OA系统，管理员账号是 admin，密码是 admin888——这种配置在公网上挂了三年没人管。

比猜密码更隐蔽的是找已知漏洞。比如某款CMS的某个版本存在SQL注入，攻击者构造一条特制URL就能把数据库里的用户表拖出来。你不需要懂编程，GitHub上搜“xxx cms exploit”就能找到现成的Python脚本，改个目标地址就能跑。我试过对一个老版本Drupal站点用公开EXP，从扫描到拿到shell不到四十分钟。那台服务器上还跑着另外七个网站。

第二层：绕过验证不等于拿到数据

很多人以为“破解”就是看到别人后台长什么样。其实登录框弹出来那一刻，真正的攻防才开始。有些系统登录成功只返回一个前端跳转，后端接口根本没做权限校验。你手动改一下URL里的用户ID，就能看到别人的订单。这种叫水平越权，比猜密码普遍得多。

去年某在线教育平台被曝出漏洞，学生能直接访问 /api/v1/teacher/salary 这个接口，拿到全公司老师的工资条。攻击者没破解任何密码，只是把浏览器地址栏里的 student 改成 teacher。开发人员把权限判断写在了前端JavaScript里，后端完全裸奔。

第三层：物理接触和供应链

真正难防的是这一层。你网站做得再密不透风，服务器托管商那边一个弱密码就能让人从底层把整台机器搬走。或者你用的某个第三方JS库被投毒，所有引用它的网站自动变成挖矿节点。2020年那起SolarWinds事件就是典型——攻击者没去破解任何一个客户网站，而是先攻破软件供应商，然后顺着更新通道进入一万八千个组织。

我认识一个安全研究员，他测试自己公司网站时发现运维把数据库备份文件放在了 /backup/db_2023.sql 这种路径下。不需要任何技术，浏览器直接下载。他说那一刻他觉得所有防火墙都像个笑话。

说点实际的

如果你运营着一个网站，先做三件事：把后台登录地址改掉，别用默认路径；给所有管理账号开双因素认证；每周看一眼服务器日志里那些反复请求 /.env 或 /wp-config.php 的IP。这三条能挡掉九成以上的自动化攻击。

至于“破解别人网站”这件事——技术上讲，大部分公开目标都能被搞定，只是时间问题。但法律上讲，未经授权的访问在刑法第285条里写着呢。我写这些不是教人使坏，是想说：你网站的安全边界，往往比你以为的窄得多。那个外贸朋友后来把评论功能关了，换了Cloudflare，再没出过事。他问我还有没有隐患，我说有，但至少现在攻击者得换个更麻烦的路子。大多数时候，这就够了。