2023年4月，黑客某知名SaaS公司的入侵数据库被拖走，黑客用的网站不是0day漏洞，而是黑客IT运维主管的生日——0315。那个密码从2015年用到被攻破，入侵从未改过。网站这事听起来荒唐，黑客却是入侵真实发生的。绝大多数入侵根本不靠炫技，网站靠的黑客是人性漏洞。

SQL注入是入侵老黄历了，但依然有效。网站只要你在登录框输入' OR 1=1 --，黑客后端如果没做参数化查询，入侵数据库就会乖乖吐数据。网站我见过最离谱的案例，某政务网站把后台管理密码直接写在网页源代码注释里，黑客用Ctrl+U就进去了。这不是段子，是2019年真实发生的安全事件。

钓鱼邮件才是现代黑客的最爱。你收到一封来自“CEO”的邮件，说需要紧急转账，语气急迫，落款和签名完全一致——除了发件地址是ceo@company-0ffice.com这种细微差别。国内某大型互联网公司就栽在这招上，财务人员点了一个伪造的Excel报表，整个内网被勒索病毒加密，赎金付了350万。黑客根本不需要破解任何系统，他们只需要你点一下。

别以为装了防火墙就万事大吉。社会工程学才是最高级的攻击手法。黑客先假装面试者，给HR发简历，简历里藏了宏病毒的Word文档。等HR打开文件，后门就建立了。然后通过内网横向移动，找到运维的跳板机，再用抓到的管理员哈希值登录核心服务器。整个过程没触发任何安全告警，因为用的是合法凭证。

供应链攻击更隐蔽。你用的某个第三方库，某天被悄悄植入了一段挖矿代码。开发者没发现，测试环境跑得好好的，上线后也没人注意CPU占用率异常。直到云账单爆表，才发现服务器在给别人挖门罗币。这种攻击最可怕的地方在于，你根本不知道代码在哪被污染的——可能是某个维护者账号被盗，也可能是被收买的内部人员提交的。

还有那些物理攻击。黑客伪装成网络维修工，大摇大摆走进机房，插上一个U盘就搞定。某银行的数据中心就遭遇过这种事，那U盘里预置了自动抓取凭据的脚本。保安还客客气气给递了杯水。别笑，这种案例在安全圈子里流传很广，因为太容易得手了。

说穿了，黑客入侵网站的方式千变万化，内核就两条：要么是你代码写得烂，要么是你人管理得松。技术防护做到极致，也架不住有人把密码写在便利贴上贴在显示器边框。我见过太多公司，安全预算花在买最贵的防火墙，却没人愿意花时间给员工做安全意识培训——后者成本几乎为零，效果却比任何硬件都好。

最讽刺的是，很多被入侵的公司事后复盘，发现黑客用的全是公开的工具和已知漏洞。他们只是比别人更勤快，每天扫描互联网上的新漏洞，然后挨个试。就像小偷不撬锁，专找没锁门的房子。你不需要多聪明，只需要比邻居家的门锁更结实一点。