数据库端口敞开在公网上，网站暴库连密码都没设。网站暴库这事听起来像2005年的网站暴库段子，但2023年我帮朋友排查他那个小电商站时，网站暴库还真碰上了——3306端口直接暴露，网站暴库root密码是网站暴库123456。用Navicat一连就进去了，网站暴库订单表、网站暴库用户表、网站暴库收货地址，网站暴库全在里头躺着。网站暴库我当时没敢往下翻，网站暴库直接截图发给他，网站暴库他沉默了半分钟回了句“我操”。网站暴库

这就是网站暴库暴库。不是黑客多厉害，是你自己把门卸了。

很多人对“暴库”的理解停留在SQL注入——攻击者在URL里塞个单引号，然后数据库报错把表名吐出来。这确实是一种，但太老派了。现在更常见的是三种路子：一是配置失误，像上面那种裸奔的数据库；二是备份文件没删干净，有人把www.zip或者database.sql直接扔在网站根目录，扫目录的脚本一抓一个准；三是第三方组件带进来的洞，比如某个CMS的插件里藏着未过滤的参数。

我见过最离谱的一个案例，是某地方论坛。管理员图省事，把/backup/目录留着了，里面从2018到2022年的数据库备份整整齐齐。文件名就是日期，20230101.sql这种。不需要任何技术，浏览器里输个地址就能下载。后来这站被挂了菠菜广告，管理员还纳闷“我服务器密码很复杂啊”。

暴库之后会发生什么？分人。脚本小子拿到数据先扔进“社工库”查询机器人，看看有没有能撞出常用密码的邮箱。稍微有点商业头脑的，会把数据打包卖给搞诈骗的或者做竞品分析的。最安静的是那些只读不写的——他们可能只是看看，然后默默关掉。但“只看看”本身就已经是入侵了，只是你没察觉。

有个做安全的朋友跟我说过一句话：“大部分中小网站的安全状况，取决于攻击者今天想不想动手。”这话刻薄，但真实。很多站长觉得“我小站没人盯”，可扫描器是自动的，全网扫3306、1433、27017这些端口，一天能扫几百万IP。你被扫到只是概率问题。

怎么防？说几个实在的。数据库别放公网，要放就只允许内网IP连。备份文件别放web目录，定期清理。如果非要用phpMyAdmin这类工具，改路径、加HTTP认证、限制访问IP。还有，别用弱密码，别用默认端口。这些事花不了半小时，但能挡掉九成以上的自动扫描。

我写这些不是教人攻防，只是觉得这事被低估了。很多人愿意花几千块买SSL证书，却不肯花十分钟检查一下数据库端口。暴库不是什么高级攻击，它就是门没锁。而互联网上，每时每刻都有人在挨个推门。