电影里那种黑进网站的像电画面，99%是影里样敲假的。真实的黑客入侵不长那样——没有3D地球旋转，没有满屏绿色代码瀑布，高手攻击更不会有人一边狂敲键盘一边喊“我进去了”。代码

但有一点电影没骗你：大部分网站被攻破，入侵不是网站因为黑客多厉害，而是像电因为写网站的人犯了低级错误。

我去年帮一个朋友看他公司的影里样敲小型电商站。后台登录页面，黑客用户名admin，高手攻击密码admin123。代码你没看错。入侵更离谱的网站是，登录接口没有任何次数限制，像电我可以写个循环脚本，每秒试一千个密码，服务器连眼皮都不眨一下。这叫暴力破解，技术含量约等于零，但就是能进去。

真正稍微“像黑客”一点的操作，是找SQL注入点。原理很朴素：网站要查数据库，比如验证登录时执行一条SQL语句，把用户输入的用户名和密码拼进去。如果你在输入框里填一段带有SQL语法的字符串，而网站没有过滤，你的输入就会被数据库当成命令执行。

举个例子。某个老旧的文章系统，URL长这样：article.php?id=5。正常请求返回第五篇文章。我把5换成5 AND 1=1，页面正常；换成5 AND 1=2，页面报错或空白。这说明id参数直接进了SQL查询，存在注入。接着用UNION SELECT把数据库里的用户名和密码哈希拖出来。整个过程用浏览器地址栏就能完成，根本不需要打开终端。

听起来很原始对吧？但根据我看到的公开漏洞报告，SQL注入至今仍然排在前列。原因很简单：写代码的人图省事，用字符串拼接SQL，而不是参数化查询。

再说一个更隐蔽的入口——文件上传。很多网站允许用户上传头像、附件。如果后端只检查了文件扩展名，比如只允许.jpg，那攻击者可以把一个PHP脚本改名为shell.jpg上传，然后想办法让服务器把它当PHP执行。这招叫文件包含漏洞配合上传。我见过一个案例，攻击者上传了一个伪装成图片的WebShell，然后通过URL参数?page=uploads/shell.jpg让服务器加载它。服务器真就执行了。接下来他就能在服务器上跑任意命令，读数据库配置、下载用户数据、甚至横向渗透内网。

不过我得说清楚：上面这些手法，针对的是防护薄弱的目标。现在主流框架比如Django、Spring Security、Laravel，默认就帮你挡住了大部分注入和XSS。真正难啃的是逻辑漏洞——比如优惠券可以无限叠加、越权查看别人的订单、密码重置token可预测。这些没有固定套路，得靠人一点点试。

那电影里那种“敲几下键盘就攻破五角大楼”到底怎么来的？编剧需要。真实入侵往往枯燥得很：扫端口、看版本号、搜对应CVE、写exp、失败、换目标。一个站搞几天是常事。

最后说句实在的。我写这些不是教你黑站。恰恰相反——你只有知道刀怎么捅进去，才知道该往哪儿装钢板。去OWASP Top 10把前五条读一遍，比你刷一百个黑客电影都有用。至于那些还在用admin/admin123的站，被黑只是时间问题，跟技术无关。

(责任编辑：知识)