一个朋友上周问我，样攻想黑掉前公司的击网网站出气。我劝他别干傻事，样攻但聊着聊着，击网发现他连最基本的样攻攻击路径都想象不出来——他以为黑客是拿个神秘软件敲几下回车就完事。

真实情况远没那么浪漫。击网攻击网站的样攻第一步，从来不是击网写代码，而是样攻“踩点”。就像小偷下手前得先观察门锁型号和摄像头位置。击网你打开浏览器开发者工具，样攻看网站的击网响应头、服务器版本、样攻用了什么框架——这些信息经常直接写在脸上。击网Nginx版本号过老？样攻那可能有已知漏洞。用的是ThinkPHP？那直接搜“ThinkPHP RCE”就能找到现成的利用脚本。

接下来是“摸门”。多数人以为网站最难攻的是核心数据库，其实最脆弱的往往是登录入口。暴力破解早就过时了，现在流行的是撞库——拿别的网站泄露的账号密码来试。很多人所有平台用同一个密码，你花几块钱买份社工库数据，随手一试就能进后台。前阵子有个小电商网站被脱库，事后分析发现，管理员密码是“admin123”，跟他在某游戏论坛泄露的密码一模一样。

要是连撞库都进不去，那就得玩点脏的。SQL注入算老手艺了，但依然有效。你找个搜索框，输入`' or 1=1 --`，看页面是不是报错。报错就是好消息，说明数据库在跟你打招呼。接着用sqlmap跑一遍，自动帮你把整个库拖下来。有个做外贸的朋友，网站被这样搞过一次，客户资料全没了，他后来跟我说，黑客连他后台的订单备注都看得一清二楚，那种感觉就像家里被人翻了个底朝天，还留了张纸条说“下次记得换锁”。

XSS攻击就更有意思了。你往评论区塞一段脚本，别的用户一打开页面就中招。这招不直接伤网站本身，却能偷cookie、劫持会话。我见过最损的案例是，有人在一个论坛的私信功能里注入XSS，专门盯着管理员账号，等管理员一登录，脚本自动把管理员密码改成攻击者设定的值。整个攻击过程安静得像猫走路，管理员根本不知道自己的地盘已经易主。

至于DDoS，那是最后的手段，也是技术含量最低的手段——纯粹拿流量砸死你。租个几百台肉鸡，对着目标网站发请求，带宽一塞满，正常用户就进不去了。这招不偷数据，就是恶心人。前阵子有个游戏私服被这么搞过，运营者气得跳脚，因为攻击持续了整整一周，每小时的损失够买一台新服务器。

说回我那朋友。他听完这些，愣了半天，最后憋出一句：“那岂不是随便什么人都能黑网站？”我说恰恰相反——正因为知道这些套路的人太多，稍微有点规模的网站都做了防护。WAF挡SQL注入，验证码防撞库，Content-Security-Policy掐死XSS。真正难啃的骨头，需要的是耐心和创造力，而不是工具本身。那些还在用弱口令的网站，说白了是自己把门敞开的。

他最后没动手。不是因为怕坐牢，而是觉得“太麻烦了，好像还得学不少东西”。你看，攻击网站这事儿，听着刺激，真研究起来，跟学修车没啥两样——都是拆开、找毛病、换零件。只不过修车修的是机器，这个修的是别人的信任。至于值不值得，你自己掂量。