2023年秋天，黑客一个做外贸的攻击朋友半夜给我打电话，说官网首页被换成了一面黑底红字的网站旗帜，底下还挂着一串数字钱包地址。黑客他声音发颤：“我根本不知道怎么回事，攻击服务器就炸了。网站”这不是黑客电影情节。黑客攻击网站，攻击早就不靠什么高深漏洞扫描器了——很多时候，网站他们只是黑客比你更懂你网站后台的那个登录框。

最省事的攻击办法是撞库。你猜有多少人用“admin/123456”当网站后台密码？网站我见过一个卖宠物用品的独立站，老板图省事，黑客数据库密码跟后台密码一模一样，攻击结果被人用自动化脚本跑了一个下午，网站第二天整站数据被拖走，挂在暗网上标价50美元。50美元，连一顿像样的火锅都不够。

再粗暴一点的是DDoS。流量像洪水一样涌进来，你服务器扛不住就瘫了。去年有个做在线教育的小平台，竞争对手花了几百块钱买了“压力测试”服务，连续三天往它直播课上砸垃圾流量。学生进不去教室，老师对着黑屏讲课。报警？警察说这得先找运营商，运营商说这是你服务器配置问题。踢皮球踢到最后，平台自己花钱加了高防IP，才算消停。

但真正让我后背发凉的，是供应链攻击。你网站用的某个开源插件，比如一个显示访客统计的小工具，某天作者账号被钓鱼盗了，新版本里藏了一段混淆过的JavaScript。用户一访问，浏览器就悄悄帮黑客挖矿，或者把登录Cookie发到境外服务器。你什么都没做错，只是用了那个插件。去年WordPress生态里爆出过好几次这种事，几十万站点中招。修复？等官方发补丁，再手动升级——可很多站长连自己装过哪些插件都记不全。

还有一种更安静的：SQL注入。听起来老掉牙了对吧？但直到今天，随便扫一下公网IP，还能找到大把没过滤参数的查询接口。我试过一个政府下属的就业信息网，在搜索框里敲一个单引号，页面直接报数据库错误，把表名和字段名全吐出来了。再稍微构造一下，就能把整个用户表拖下来，包括身份证号和手机号。他们后来修了，但修之前那三个月，谁拖过数据，没人知道。

黑客不总是为了钱。有人纯粹为了炫技，有人为了泄愤。我认识一个独立开发者，他的博客被入侵后，首页被贴了一张他前女友的照片，配文“你写的代码跟你人一样烂”。他查了三天日志，发现攻击者用的是他三年前在论坛上贴过的一段示例代码里的默认密钥。他忘了改。就那一个疏忽。

那怎么办？别指望什么“一键防护”。最有效的三件事：第一，把后台登录地址从/wp-admin改成别的，再加个双因素认证；第二，数据库账号只给增删改查权限，别用root；第三，每周花十分钟看看服务器日志里有没有奇怪的POST请求。听起来很土，但能挡掉八成以上的自动化攻击。剩下的两成？那是职业选手，你一个小网站不值得他们花力气。

最后说个真事。那个被换首页的外贸朋友，后来花了三千块找安全公司清理，又花了两千块加固。他跟我说：“早知道当初花两百块买个密码管理器。”我没接话。有些教训，非得自己服务器冒了烟才记得住。