2023年秋天，攻击网站一个做电商的攻击网站朋友半夜给我打电话，说他的攻击网站网站首页被换成了一张黑底红字的图片，上面写着“你的攻击网站数据库在我手里”。他声音在抖。攻击网站我让他先拔网线，攻击网站再去看备份。攻击网站后来查出来，攻击网站攻击者用的攻击网站是他三年前离职员工留下的VPN账号，密码从没改过。攻击网站这事听起来像电影，攻击网站其实每天都在发生。攻击网站攻击网站不是攻击网站什么高深技术，很多时候就是攻击网站找漏洞、试密码、攻击网站钻空子。

先说最老土但最有效的：撞库。攻击者拿一批从别处泄露的邮箱和密码，写个脚本往你登录接口上怼。每秒试几百次。如果你的用户习惯用同一个密码，或者你后台管理员密码是“admin123”，那基本等于门没锁。我见过一个论坛，管理员密码是“qwerty”，攻击者进去后没删数据，先给自己开了个版主账号，潜伏了两个月，把用户手机号全导走了。你说这怪谁？

再讲个技术点的：SQL注入。前两年有个小公司官网，产品页链接长这样：product.php?id=15。攻击者在后面加了个单引号，页面直接报错，把数据库表名吐出来了。接着用union select把管理员账号密码查出来。整个过程不到十分钟。这种漏洞现在少了，但老系统、外包做的站、赶工上线的项目里一抓一把。你拿个扫描器跑一遍，能扫出几百个。

还有更直接的：DDoS。不偷数据，就让你打不开。去年有个游戏私服，被人用流量清洗服务打了三天，服务器欠费停机。攻击者没要钱，就是同行恶心人。这种攻击没技术含量，但便宜。网上有按小时卖的，几十块钱就能让一个小站瘫痪。你报警？警察问你损失多少，你说广告费白花了，立案都难。

文件上传漏洞也常见。很多网站允许传头像、传附件。攻击者传个.php文件，里面写一句system($_GET['cmd']);，然后访问这个文件，就能在你服务器上执行任意命令。我见过一个案例，攻击者传了个图片马，把恶意代码藏在图片的EXIF信息里，绕过了前端检测。后端没做二次校验，直接中招。他后来用这个服务器挖了半个月的矿，网站卡得要死，管理员还以为是带宽不够。

弱口令和默认配置是重灾区。很多路由器、数据库、Redis服务，装完就不管了。Redis默认没密码，绑定在0.0.0.0上。攻击者连上去，写个SSH公钥，直接登录服务器。这事在2018年集中爆发过，几万台服务器被控制。你问为什么？因为运维图省事，觉得内网安全。可一旦有一台机器被突破，内网就是平趟。

说这些不是教人干坏事。我是想说，攻击网站的门槛比大多数人想象的低。一个脚本小子，拿几个现成工具，就能把防护不到位的站翻个底朝天。你不需要会写代码，会搜教程就行。真正难的是防。防的人要堵所有洞，攻的人只需要找到一个。

我自己的博客，去年被人扫到后台路径是/wp-admin，然后开始暴力破解。我装了fail2ban，封了IP，又加了二次验证。结果第二天收到邮件，说有人尝试用我的邮箱重置密码。你看，攻击者不傻，正面进不来就换路子。安全这事，没有一劳永逸。你只能比隔壁那家难啃一点，攻击者就换目标了。

最后说个真事。有个做外贸的老板，网站被挂了黑页，上面写着“你的网站有漏洞，联系这个邮箱”。他真联系了，对方要0.5个比特币。他给了。结果第二天网站又被挂了，这次要1个。他报警，警察说跨境难查。他后来找我，我一看，漏洞还在——那个上传接口根本没修。你给钱，人家只是删了黑页，没帮你补洞。攻击者不是黑客，是贼。贼只关心能不能再偷一次。

所以别想着怎么攻击。想想你的站，密码改了吗？备份做了吗？后台路径改了吗？插件更新了吗？这些事花不了半小时，但能挡住九成以上的脚本小子。剩下的那一成，真盯上你了，你防也防不住。但至少别当那个最容易的。