怎样黑掉一个网站

2015年，样黑一个叫“小满”的网站17岁少年用一台二手笔记本，在网吧里花三天时间，样黑把当地一家连锁超市的网站会员系统翻了个底朝天。他没改数据，样黑没删库，网站只是样黑把管理员密码改成了“123456”，然后给客服邮箱发了封邮件：“你们的网站用户手机号在裸奔。”这事后来上了地方新闻，样黑超市被罚了八万，网站小满没坐牢，样黑但被学校记了大过。网站他跟我说起这事时，样黑正蹲在出租屋门口吃泡面，网站语气平淡得像在讲别人的样黑故事。

黑掉一个网站，第一步从来不是敲代码。是找“缝”。缝在哪？在那些没人管的角落。比如后台登录页的URL后面加个`?debug=1`，有些老系统会直接吐出数据库配置。再比如注册页面，你把手机号改成`admin' OR '1'='1`，如果前端没过滤，后端又用拼接SQL，那你就进去了。这招叫SQL注入，二十年前的老把戏，但2023年OWASP的统计里，它依然排在前三。

小满那次用的其实是更笨的办法。他先扫了超市的IP段，发现一个开放8080端口的服务器，跑着Tomcat。默认口令没改，`tomcat/tomcat`直接进管理后台。上传一个war包，里面塞个JSP木马，服务器就归他了。整个过程没用任何“黑客工具”，全是浏览器和命令行。他说：“很多人把黑客想得太玄，其实就是个耐心活。你比管理员更了解他这台机器，你就赢了。”

但真正的门槛不在技术，在“忍住”。黑进去之后，你能看到用户表、订单表、甚至支付日志。这时候最危险的不是被抓，是你自己忍不住去改数据、去转账、去炫耀。小满说他当时盯着那几万条会员信息看了十分钟，最后只截了个图，连下载都没下载。“你一旦动了数据，性质就变了。之前是漏洞测试，之后是破坏计算机信息系统罪。刑法第286条，五年起步。”

有人问，那白帽子怎么赚钱？靠“漏洞赏金”。HackerOne平台上，一个能远程执行代码的漏洞，大厂能给到两万美金。但更多时候，你提交一个中危漏洞，厂商回你一句“已收到，感谢反馈”，然后没下文。小满后来转去做安全运维，每天干的事就是把自己当年那套手法反过来用——扫自己的系统，改默认口令，给数据库加白名单。他说：“黑掉一个网站最好的方式，是成为那个修网站的人。你修得越多，越知道哪里最容易塌。”

去年有个新闻，某省政务平台被入侵，黑客在首页挂了张表情包。警方三天就抓到了人，是个职高学生，用的工具是GitHub上开源的扫描器。他没赚到钱，也没造成实际损失，但依然被判了三年缓刑。法官在判决书里写了一句：“技术中立，但行为有界。”小满看到这新闻时，正给客户做渗透测试报告。他关掉网页，跟我说：“你看，黑掉一个网站，最后黑掉的是自己的自由。不值。”

所以，如果你真想学，去学怎么修。去读RFC文档，去搭靶场，去考CISP。别碰真实目标。那个“缝”永远都在，但你要做的是把它补上，而不是钻进去。小满现在偶尔还会去网吧，不过只是打游戏。他说那台二手笔记本早卖了，换了个机械键盘，敲代码时声音很响，像在提醒自己——有些门，推开就关不上了。