去年秋天，网站我帮一个开咖啡馆的入侵朋友看他的站点。WordPress搭的教程，插件装了十几个，网站后台密码是入侵“coffee123”。我问他知不知道这等于把钥匙插在门上就走了。教程他耸肩：谁会盯上我这个小破站？网站三天后，他的入侵首页被挂了一个博彩跳转。日志里清清楚楚，教程攻击者从扫描到拿shell，网站总共花了四十七秒。入侵

网站入侵这件事，教程门槛比大多数人想象的网站低得多。你不需要会写exploit，入侵不需要懂汇编。教程真正被利用的，往往是最基础的疏漏。

信息收集：先看清楚门在哪

攻击的第一步不是敲键盘，是看。看什么？看这个站用什么搭的、开了哪些端口、有没有暴露版本号。

浏览器按F12，看响应头里有没有X-Powered-By: PHP/7.4.3这种字段。有的话，恭喜，你连指纹识别工具都省了。再试试访问/robots.txt、/sitemap.xml，有些站长会把后台路径写进去，等于给你画了张地图。

命令行下，nmap -sV target.com扫一遍端口。22开着？SSH可能可以爆破。3306开着？MySQL直接暴露在外网，这种事我见过不止一次。有一回扫到一个站，phpMyAdmin挂在8080端口，root密码为空。你没看错，空的。

常见入口：弱口令和过时组件

弱口令排第一，没有争议。admin/admin、admin/123456、test/test，这三组能打穿相当比例的站点。有人写了个脚本专门跑WordPress后台，字典就两百个词，命中率超过百分之十。什么概念？随便找十个站，可能就有一个能进去。

SQL注入排第二。不是说它多高级，而是老代码里到处都是。一个PHP页面，参数?id=1直接拼进查询语句，加个单引号就报错。报错信息里带着完整SQL语句，这种站基本等于敞开门。sqlmap跑一遍，库名、表名、字段名、密码哈希，全出来。密码是MD5？去cmd5查一下，没加盐的话几秒钟的事。

文件上传漏洞也常见。上传头像的地方，只在前端JS里校验了后缀名。抓包改成.php，服务端照单全收。传上去一个一句话木马，中国菜刀连上去，整台服务器就是你的了。我见过最离谱的，上传目录还能直接通过URL访问，连菜刀都不用，浏览器里就能执行命令。

提权与留后门

拿到webshell只是开始。web服务通常跑在www-data这种低权限用户下，你想读/etc/shadow？没门。这时候要看内核版本，找对应的本地提权exp。Linux 2.6到4.x之间有一堆脏牛之类的漏洞，编译运行，root到手。

留后门的方式五花八门。有人喜欢写cron定时任务，有人改SSH配置加个公钥，有人直接在web目录里藏一个.htaccess把后门文件伪装成图片。我见过最隐蔽的，把后门代码塞进favicon.ico的二进制尾部，正常请求根本看不出来。

防御这件事，没那么复杂

说回我那个开咖啡馆的朋友。我帮他做了几件事：后台密码换成随机十六位、装了Wordfence、关了文件编辑功能、把PHP版本升到8.1、删掉所有不用的插件。总共花了一个下午。之后再没被入侵过。

大部分站点被攻破，不是因为对手太强，是因为自己太懒。密码懒得改，补丁懒得打，插件懒得删。攻击者才不管你站大站小，批量扫描器跑一遍，有洞就进，没洞就换下一个。你的站对TA来说只是一个数字，但对你来说可能是全部生意。

别等被挂了马才想起来看日志。

(责任编辑：休闲)