入侵一个网站，入侵网站最直接的入侵网站方式往往不是电影里那种噼里啪啦敲键盘、屏幕跳绿字。入侵网站真实情况可能很无聊：一个没改默认密码的入侵网站后台，一个三年前就被公开的入侵网站漏洞，或者一封伪装成HR的入侵网站钓鱼邮件。我见过最离谱的入侵网站案例，某公司内网被攻破，入侵网站起因是入侵网站运维把测试环境的数据库端口直接暴露在公网，密码是入侵网站“admin123”。攻击者甚至没写一行代码，入侵网站用现成的入侵网站扫描工具就进去了。

先搞清楚一个概念：网站不是入侵网站铁板一块。它由很多层组成——前端页面、入侵网站后端逻辑、入侵网站数据库、服务器操作系统、网络设备。任何一层有短板，整个系统就可能沦陷。攻击者通常从信息收集开始。比如用Whois查域名注册信息，用子域名爆破工具找隐藏的测试站，用目录扫描器碰运气看有没有备份文件（像www.zip、.git目录）。这些操作不违法，但它们是入侵的前奏。我试过对一个目标站扫了半小时，发现一个/admin_backup/路径，里面躺着完整的数据库导出脚本，连密码都写在注释里。

接下来是找漏洞。常见的有SQL注入、跨站脚本（XSS）、文件上传漏洞、命令执行漏洞。SQL注入的原理很简单：网站把用户输入直接拼进数据库查询语句。你输入一个单引号，如果页面报错，说明有戏。然后构造' OR '1'='1这样的条件，可能直接绕过登录。但现代框架大多有防护，所以更常见的是逻辑漏洞——比如修改URL里的用户ID就能查看别人的订单，或者验证码可以暴力枚举。我见过一个电商网站，重置密码的令牌是六位数字，没有次数限制，写个脚本跑十分钟就能接管任意账户。

拿到低权限账户后，攻击者会尝试提权。比如上传一个webshell（一句话木马），然后通过它执行系统命令。这时候服务器就成了肉鸡。如果目标站和内部办公网连通，还能横向移动。去年有个真实事件，某游戏公司被入侵，攻击者从官网的PHPMyAdmin弱口令进入，然后通过内网Redis未授权访问，最终拿下域控服务器。整个过程用了四天，但核心突破只花了二十分钟。

防御方也不是吃素的。WAF（Web应用防火墙）能拦掉大部分自动化扫描，但绕过的办法一直都有。比如把SQL注入的关键字编码、拆分、用注释符隔开。或者利用WAF只检查HTTP请求体的特性，把恶意载荷放在Cookie或自定义头里。我测试过某云WAF，发现它对multipart/form-data的解析有缺陷，把注入语句藏在文件名里就能绕过。这就像猫鼠游戏，没有绝对的安全。

说点实在的。如果你真想学入侵技术，去合法的靶场练手，比如DVWA、Pikachu、HackTheBox。别碰真实网站，刑法第285条写着呢：非法侵入计算机信息系统罪，情节严重的处三年以下有期徒刑。我认识一个小子，用SQL注入拿了某政府站的管理员权限，就为了装个逼，结果被判了两年。技术本身中立，但用在哪里，后果天差地别。

最后提一句，很多网站被入侵不是因为技术多高明，而是管理员太懒。补丁不打、日志不看、权限乱给。你花三天挖一个0day，不如花三分钟试试默认口令。安全这行，拼的不是谁更聪明，是谁更少犯低级错误。