```html

攻击网站软件

2021年夏天，攻击某电商平台凌晨三点被刷走两千多万优惠券。网站不是软件黑客电影里那种噼里啪啦敲键盘的画面，就是攻击一个脚本在跑，每秒钟向服务器发几百次领券请求。网站运维团队第二天早上才发现，软件因为监控系统只盯着服务器CPU，攻击没看业务逻辑层的网站异常。这事后来在圈内传开，软件大家才意识到，攻击攻击网站这件事早就不是网站“入侵”那么简单。

攻击网站软件，软件说白了就是攻击专门用来对Web服务发起非授权请求的工具。它跟杀毒软件、网站防火墙不一样，软件后者是防，前者是攻。这类软件覆盖面很广，从最基础的漏洞扫描器，到自动化SQL注入工具，再到分布式压测平台——压测和攻击在技术层面用的是同一套东西，区别只在于你有没有授权。

我见过一个做渗透测试的朋友，他电脑上装了个叫Burp Suite的代理工具。这东西能拦截浏览器和服务器之间的所有数据包，改参数、重放请求、批量爆破密码。他说最离谱的一次，客户的后台登录接口连验证码都没加，他用Burp的Intruder模块跑了半小时字典，直接进了管理员面板。这种工具算不算“攻击软件”？看你怎么用。官方定位是安全测试工具，但落到坏人手里，它就是撬锁的万能钥匙。

更下沉的一层是DDoS攻击软件。早些年流行的是“压力测试”类网站，交几十块钱就能对指定IP发起流量攻击。现在这类服务转到了Telegram群组里，按小时计费，支持支付宝。2023年有个做游戏私服的人跟我说，他每周都被打，每次持续十几分钟，服务器直接掉线。攻击方用的是Mirai变种，感染了大量物联网设备——摄像头、路由器、智能音箱，这些设备默认密码没改，被扫到就变成肉鸡。

SQL注入工具是另一条路线。sqlmap这个开源项目，命令行敲几个参数，它就能自动探测数据库类型、枚举表名、导出数据。我试过一次，对着一个存在注入点的测试站点跑，十分钟拿到了管理员密码的哈希值。方便得让人后背发凉。这类工具的门槛在持续降低，以前要懂SQL语法、懂盲注技巧，现在只要会复制粘贴命令。

还有一类专门针对特定CMS的利用工具。比如WordPress的wpScan，能扫描插件漏洞、枚举用户名、爆破登录。很多中小企业的官网就是套了个WordPress模板，插件半年不更新，wpScan一扫一个准。攻击者不需要自己写代码，下载工具、输入域名、按回车，剩下的交给软件。

这些软件流通的渠道也很野。GitHub上开源的一堆，Telegram频道里打包卖的也不少。有个叫“渗透测试工具合集”的压缩包，解压后将近4个G，里面从信息收集到提权工具全有。卖家在简介里写“仅供学习交流”，但买家拿去干什么，没人管。

防御方其实有办法。WAF能拦掉大部分自动化扫描，速率限制能挡住暴力破解，把默认密码改掉能避免成为肉鸡。问题是很多站点连这些基础措施都没做。我随机测过几十个中小企业的官网，超过一半的登录接口没有失败次数限制，三分之一的后台路径直接暴露在robots.txt里。

攻击网站软件本身没有善恶。写sqlmap的人现在在给安全公司做顾问，Burp Suite的开发商PortSwigger每年办安全会议。工具是中性的，但用工具的人不是。真正的问题在于，防守方往往比攻击方懒。攻击者每天在更新字典、找新漏洞、写新脚本，防守方可能连上个季度的补丁都没打。

凌晨三点那个电商平台后来加了行为验证，领券接口上了风控。但我知道，下一个漏洞已经在路上了。攻击网站软件不会消失，它只会变得更便宜、更自动化、更隐蔽。防守的人得比写工具的人更勤快，这事没有终点。

```