2023年秋天，批量我盯着服务器日志里一串奇怪的入侵请求记录，每秒钟有四十多次POST请求打向同一个登录接口，网站来源IP分布在六个不同的批量C段。这不是入侵正常用户能干出来的事。有人在用自动化工具批量尝试撞库。网站

批量入侵这件事，批量门槛比大多数人想象的入侵低得多。网上有现成的网站工具包，GitHub上搜一圈能翻出几十个开源项目，批量有些甚至带图形界面，入侵点几下鼠标就能跑起来。网站真正需要动脑子的批量部分，是入侵找到那些防护薄弱的靶子。

我跟踪过一批被入侵的网站小型电商网站。攻击者的手法很朴素：先用爬虫扫一遍全网，识别出运行特定版本CMS的站点，然后拿已知漏洞的利用脚本挨个试。一个脚本打不通就换下一个，反正自动化跑着，成本几乎为零。有个做手工皮具的店主后来告诉我，他的网站被挂了博彩页面，整整两周才发现，因为那段时间他忙着发货，根本没看过前台。

这种“广撒网”式的入侵之所以有效，是因为互联网上存在大量无人维护的资产。我做过一个小范围统计，随机抽取500个中小企业官网，其中至少60个运行着两年以上未更新的建站程序，20个后台路径直接暴露在robots.txt里，还有三个数据库端口对外开放。这些数字不算惊人，但乘以全网的基数，就是一片肥沃的猎场。

技术层面的事情说穿了不复杂。扫描器负责发现目标，爆破工具负责猜密码，漏洞利用框架负责撕开口子，最后用webshell或者计划任务维持访问权限。整套流程里最耗时的环节其实是“筛选”——从海量IP中剔除蜜罐、CDN节点和已经被人捷足先登的机器。有个做安全研究的朋友跟我讲，他曾经观察到一个僵尸网络在24小时内尝试感染了八万台设备，最终成功拿到控制权的只有三百多台。转化率不到千分之四，但绝对数量足够形成一次可观的DDoS攻击。

法律风险是实实在在的。刑法第285条和286条对非法侵入计算机信息系统和破坏计算机信息系统都有明确量刑标准，情节特别严重的可以判七年以上。但问题在于，多数攻击者通过多层代理和境外服务器隐藏身份，追踪成本极高。我见过一个案例，某地警方花了八个月才锁定一个利用IoT设备组建僵尸网络的团伙，主犯最后只判了三年，因为部分证据链在跨境取证时断了。

防守方也不是完全被动。去年我开始给几个小客户做基础加固，措施很简单：改掉默认后台路径、强制复杂密码、限制登录频率、关掉不必要的端口。就这几条，挡住了后续三个月内所有自动化扫描的尝试。攻击者也是要算成本的，当突破一个站需要花费的时间超过阈值，他们就会转向更容易的目标。批量入侵的本质是效率游戏，你不需要做到固若金汤，只需要比隔壁那个用admin/123456的站更难啃就行。

有个现象挺有意思。很多被入侵的站长在清理完恶意代码后，第一反应是加装各种安全插件，却不愿意花十分钟去检查一下自己是不是用了弱口令。这就像家里进了贼，不去换锁，反而在客厅装了八个摄像头。方向错了。