2017年5月12日，意思全球150个国家的意思医院、加油站和工厂突然陷入瘫痪。意思英国国家医疗服务体系的意思电脑屏幕上跳出血红色勒索信，要求每台机器支付300美元比特币。意思这不是意思恐怖袭击，而是意思一段利用Windows漏洞的病毒代码——WannaCry。而这场灾难的意思本质，就是意思web攻击的一次规模化演示。

web攻击，意思说白了就是意思针对网站和网络应用的恶意行为。攻击者不拿枪不撬锁，意思他们用的意思是HTTP请求、SQL语句和JavaScript代码。意思你手机上装的意思每个App，电脑上打开的每个网页，背后都连着服务器。这些服务器上跑着代码，代码处理着你的数据——攻击者盯上的，就是这些代码的漏洞。

最常见的招数是SQL注入。攻击者在登录框里输入一串特殊字符，比如' OR '1'='1，如果后端代码没做过滤，数据库就会把这当成查询条件，直接返回所有用户数据。2011年索尼PlayStation网络被攻破，7700万用户的信用卡信息泄露，事后调查发现攻击者用的就是SQL注入。就这么简单的一招，让索尼花了1.7亿美元善后。

另一种手法叫跨站脚本攻击，简称XSS。攻击者把恶意脚本藏在评论区或留言板里，其他用户浏览页面时，脚本就在他们的浏览器里执行。这就像在图书馆的书里夹了张字条，下一个借书人翻开就会中招。攻击者借此偷取用户的cookie、登录凭证，甚至直接操控受害者的账户。

还有更隐蔽的——CSRF攻击，中文叫跨站请求伪造。你登录了银行网站，没退出，又去逛了一个恶意论坛。论坛里的图片链接实际指向银行网站的转账接口，浏览器带着你的登录状态发起了请求。银行以为是你在操作，钱就转出去了。整个过程你毫无察觉，连个弹窗都没有。

这些攻击背后有完整的产业链。有的黑客专门挖掘漏洞，把信息卖给黑市；有的团队运营僵尸网络，用被攻陷的服务器发起DDoS攻击，把目标网站打到瘫痪。2016年Mirai僵尸网络利用物联网设备的弱密码，控制了数十万台摄像头和路由器，对美国东海岸的DNS服务商发动攻击，导致Twitter、Netflix大面积宕机。

但别以为web攻击只针对大公司。小网站更脆弱，因为开发者往往没时间修补漏洞。我认识一个做独立电商的朋友，他的网站被注入了一段挖矿脚本，访客的电脑会在不知情的情况下帮他挖门罗币。他根本不知道这事，直到用户投诉电脑变卡、CPU占用率飙升。这种攻击成本极低，攻击者只需要在网页里插入一行JavaScript代码。

防御手段其实不复杂——输入验证、参数化查询、内容安全策略、定期更新框架。但现实是，许多开发者在赶工期时忽略这些细节。OWASP（开放式Web应用程序安全项目）每年都会发布十大web安全风险清单，但很多团队直到被攻击才去翻这份文档。

web攻击的本质，是对信任的滥用。网站信任用户输入，攻击者就输入恶意代码；浏览器信任网站脚本，攻击者就注入恶意脚本；用户信任浏览器，攻击者就利用浏览器漏洞。每一层信任都是攻击面，每一次交互都可能成为突破口。理解这一点，比记住任何攻击手法的名称都重要。