2023年秋天，某家做跨境电商的小公司发现后台订单数据被批量导出，客户姓名、电话、地址全挂在境外论坛上叫卖。安全团队查了一周，最后定位到三个月前离职的一名运营。他利用一个没注销的测试账号，在商品搜索框里填了一段SQL代码，把整个用户表拖走了。这就是web攻击——不撬门、不翻窗，顺着你网站自己的功能接口，把数据一点一点搬空。

很多人以为黑客得懂二进制、会写病毒。其实大多数web攻击用的就是浏览器和网站之间的正常对话。你打开网页、登录、搜索、下单，每一步都在向服务器发送请求。攻击者做的事，是在这些请求里夹带私货，让服务器执行它本来不该执行的操作。

最常见的入口是输入框。搜索框、登录框、评论框，只要网站没把用户输入处理干净，攻击者就能把代码塞进去。SQL注入是最老的一种，老到1998年就被写进论文，但到今天还在OWASP Top 10里占位置。原因很简单：开发人员赶进度，拼接SQL字符串，忘了参数化查询。一个引号就能让数据库把后面的内容当命令执行。

跨站脚本（XSS）更隐蔽。攻击者不偷服务器数据，而是在网页里植入一段JavaScript。你打开页面，脚本就在你浏览器里跑，偷你的cookie，或者伪装成登录框骗你输密码。2018年British Airways被攻击，38万笔支付信息泄露，起因就是攻击者在页面里注入脚本，把用户输入的信用卡号直接转发到境外服务器。用户看着一切正常，地址栏也是https，但数据已经拐了个弯。

还有一种叫CSRF，跨站请求伪造。你登录了网银，没退出，然后打开一个恶意网站。那个网站悄悄向网银发一个转账请求，浏览器会自动带上你的登录cookie。银行以为是你本人操作，钱就转走了。这种攻击不碰你的账号密码，利用的是网站对浏览器请求的盲目信任。

文件上传功能也是重灾区。很多网站允许用户传头像、传附件，但没检查文件类型。攻击者传一个.php文件，里面写一句“执行系统命令”，然后通过URL访问它。服务器就把这个文件当程序跑起来，等于把遥控器交出去了。2017年Equifax泄露1.43亿用户数据，入口就是一个没打补丁的Apache Struts框架，攻击者通过上传功能拿到了服务器权限。

这些攻击有个共同点：它们不破坏网站的正常功能，而是滥用正常功能。防火墙能挡掉一些明显的恶意请求，但挡不住一个看起来像正常搜索的SQL注入。WAF（Web应用防火墙）能拦一部分，但攻击者会编码、会变形、会分片传输。真正管用的还是代码层面把输入验证做扎实，把输出编码做正确，把权限最小化做到位。

我见过一个开发团队，每次上线前跑一遍OWASP ZAP扫描，把高危漏洞当bug修。他们的登录接口用了参数化查询，搜索框做了白名单过滤，文件上传只允许图片且重命名存储。三年没出过web攻击导致的数据泄露。这不是什么高深技术，就是肯不肯在写代码时多花十分钟。

web攻击不会消失。只要网站还在接收用户输入，只要开发还在赶工期，就永远有人能找到缝隙。但大多数攻击并不高明，它们利用的是疏忽，不是天才。把每个输入框都当成潜在的攻击入口，把每次数据库查询都当成可能被篡改的指令，这件事就没那么神秘了。