凌晨两点十七分，何劫我盯着屏幕上的持网404页面，手指在键盘上悬了整整三秒。何劫然后我按下了F12。持网

这不是何劫什么高深莫测的黑客技术，只是持网浏览器自带的开发者工具。真正让我意外的何劫是，那个看起来固若金汤的持网登录表单，居然把密码字段的何劫maxlength属性设成了20——这意味着后端根本没有对输入长度做校验。我随手输入了30个字符，持网页面弹出了数据库错误，何劫泄露了完整的持网SQL查询语句。

劫持网站的何劫第一步，从来不是持网攻击服务器，而是何劫观察。像蹲在巷口的猫，等那扇虚掩的门自己晃开一条缝。

我见过最蠢的漏洞出现在一家本地餐饮连锁的订餐系统。他们的后台地址是/admin，密码是admin123。不是没人提醒过他们，但老板觉得"谁会闲着没事黑一个卖盒饭的"。直到某个竞争对手雇人改了他们的菜单价格，把招牌红烧肉标成了0.01元。那天下午，他们接到了四百多个订单，全是冲着免费红烧肉来的。系统崩溃的时候，老板才想起来上个月确实收到过一封提醒邮件，但他没点开。

另一种劫持更隐蔽，也更阴险。XSS攻击——跨站脚本攻击。你不需要攻破服务器，只需要往评论区塞一段精心构造的脚本。当管理员登录后台查看留言时，那段脚本就会在管理员的浏览器里执行，悄悄把管理员的cookie发送到你的服务器。整个过程不超过两秒，管理员看到的只是一条普通留言，可能还带着个笑脸表情。

我认识一个白帽黑客，他最喜欢干的事就是假装自己是客户，给那些电商网站的客服发消息。他会发一个链接，问"这个商品还有货吗"。客服点开链接，弹出的是一张404页面——但就在那一瞬间，链接里的脚本已经尝试用客服的会话令牌发起请求了。如果网站没做好CSRF防护，他就能用客服的身份修改商品价格。他管这叫"社会工程学"，我觉得其实就是骗人，只不过骗的是机器人。

真正让我脊背发凉的是一个关于DNS劫持的案例。攻击者没有碰目标网站，而是攻破了目标公司所在楼宇的WiFi路由器。当那家公司的员工连上WiFi，输入公司邮箱密码时，路由器已经把流量转发到了一个伪造的登录页面。员工毫无察觉，因为页面长得一模一样。就这么过了两周，攻击者收集了全公司高管的邮箱凭据。他们甚至没用到什么零日漏洞，只是改了路由器的DNS设置。

最讽刺的是，很多劫持根本不需要技术含量。SQL注入、弱口令、未授权访问——这些在OWASP Top 10里躺了十几年的老面孔，至今仍是攻破网站的主要途径。我曾在某个政府网站的源代码注释里发现数据库密码，就写在<!-- 数据库连接信息 -->下面，白底黑字，清清楚楚。

写到这里，我得说句实话：劫持网站这事儿，三分靠技术，七分靠人性。技术书里写满了漏洞原理，但现实中，最坚固的防火墙往往是被一条"老板让我把密码改成123456"的微信消息击穿的。

你问怎么防范？把密码换长一点，把后台地址藏深一点，别在代码注释里写敏感信息——但最管用的，是记住那句话：任何系统都是人写的，而人总会犯错。你唯一能做的，就是别成为那个最容易犯错的环节。