凌晨两点，入侵我盯着终端上跳动的网站光标。目标是入侵一家小电商网站，用的网站是十年前的老框架。这不是入侵什么高深攻击，纯粹是网站管理员忘了打补丁——SQL注入点就那么明晃晃地躺在搜索框里。

先把话挑明：kali不是入侵魔法棒，它只是网站一把瑞士军刀。里面几百个工具，入侵真正用得上的网站也就那么十来个。入侵网站的入侵本质就三步——找入口、提权限、网站留后门。入侵剩下的网站全是细节和运气。

第一步是入侵信息收集。别急着开msfconsole乱扫，先nmap摸个底。看端口、看服务版本、看中间件。这就像踩点，你得知道保安几点换岗，后门在哪扇墙。我习惯先跑nmap -sV -O 目标IP，结果出来先看80和443端口。如果跑的是Apache 2.4.49，恭喜你，路径穿越漏洞直接能用。

第二步是漏洞利用。这里分两派——用现成exp和手工测试。用现成exp快，但容易被waf拦。手工慢，却往往能绕过防护。拿刚才那个SQL注入举例，我先在搜索框输入' or 1=1 --，页面把所有用户数据全吐出来了。这破站连参数化查询都没做，跟没锁门有什么区别？

sqlmap能自动化这个过程，但我建议你手打一次。不是装逼，是让你理解原理。当你亲手用UNION SELECT把管理员密码hash捞出来，再用hashcat跑出明文，那种感觉比任何教程都深刻。

拿到后台权限后，别急着高兴。真正难的是提权。网站权限通常只是个www-data，干不了大事。这时候看看有没有sudo配置错误，或者内核漏洞。去年有个案例，目标站用的Ubuntu 18.04，内核版本4.15，直接上CVE-2021-3493，三秒钟拿root。但多数情况没这么顺，你得翻配置文件找数据库密码，再试ssh复用。

最后一步留后门，这一步最考验操守。我见过太多人搞完就拍拍屁股走人，结果管理员发现被入侵，把所有漏洞都补了。真正的高手会放一个隐蔽的webshell，改个正常文件名，再清除日志里的访问记录。但我要泼盆冷水——如果只是测试，点到为止就够了。真留后门，那是刑事犯罪。

说点题外话。现在网站防护比以前强太多了，云waf、态势感知、主机加固，一套组合拳下来，裸奔的站越来越少。你拿kali扫一百个站，能打进去三五个就算运气好。所以别信那些吹嘘"三天拿站"的教程，现实里全是碰壁。

还有种野路子，不碰技术漏洞，改打人。用setoolkit伪造个钓鱼页面，给管理员发封"系统升级"邮件，等他自己把密码送上门。这招比sqlmap管用十倍，因为人永远是最大的漏洞。但这事更缺德，我不建议你干。

写到最后，我想起自己第一次用kali的时候，对着菜单栏发呆半小时，不知道从哪下手。后来才明白，工具只是辅助，真正的核心是思路——你得像个贼一样思考，看哪扇窗没关紧，哪把锁生锈了。kali给你一堆撬锁工具，但你要自己找到那扇最脆弱的门。

别问我"怎么入侵网站"这种大而空的问题。先装个靶场，拿DVWA练手，把SQL注入、XSS、文件上传这几个经典漏洞玩明白。等你哪天不需要看教程就能黑进自己搭的测试站，才算真正入门。至于实战？那得等你能控制住手痒，并且准备好承担后果的时候再说。