上周帮朋友处理一个被挂马的网站织梦站点，登录后台时发现数据库备份文件全躺在 /data/backup/ 目录里，数据文件名带着日期，库下浏览器直接访问就能下载。网站我说你这网站等于把钥匙插在门上还贴了张纸条。数据他愣了半天——原来数据库下载这事儿，库下比想象中普遍得多。网站

所谓网站数据库下载，数据多数时候不是库下什么高深攻击。它常常是网站配置疏忽、权限乱设、数据或者开发者图省事留下的库下口子。数据库文件本身不会主动跑到你硬盘里，网站得有人把它暴露出来，数据或者有人找到路径把它拽出来。库下

最直白的一种：备份文件没删

很多CMS系统自带备份功能，生成的文件默认放在Web目录下。管理员导出一次，忘了删，搜索引擎甚至能直接收录。百度搜 inurl:/data/backup/ 或者 filetype:sql，早年能翻出一堆。现在虽然少了，但换个语法照样能找到漏网的。我见过一个企业站，backup.sql 就搁在根目录，2.3MB，下载下来用记事本打开，管理员密码的MD5都在里面，表结构清清楚楚。

这种下载不需要任何技术，知道路径就行。路径怎么知道？目录扫描工具跑一遍，或者看robots.txt里有没有不小心写进去。

另一种是注入点导出的

SQL注入老生常谈，但配合 INTO OUTFILE 就能把查询结果写成文件。前提是数据库用户有FILE权限，且 secure_file_priv 没限制死。写出来的文件放在Web目录，浏览器一访问，数据就下来了。这个过程比备份文件下载隐蔽，因为文件是动态生成的，平时不存在。但特征也明显——Web目录突然多出个 .txt 或者 .sql，里面全是表数据。

我跟踪过一个案例，攻击者先通过注入点读出管理员表，再用 LOAD_FILE() 配合联合查询把文件内容带出来。压根没写文件，直接在HTTP响应里返回十六进制数据，本地转码就还原了。这种更难防，因为流量看起来就是普通查询。

配置失误导致的直接下载

Nginx或Apache配置不当，把 .sql、.db、.sqlite 当普通文件处理了。比如 location ~ \.(sql|db)$ 没写deny规则，或者MIME类型没排除。用户点链接，浏览器不解析，直接下载。SQLite数据库尤其危险，单文件，下载下来用DB Browser打开，全站数据一览无余。

有个做外贸的朋友，网站用SQLite存产品数据，database.sqlite 放在 /db/ 目录下。我提醒他，他说“路径这么偏没人知道”。三天后Google搜到了。搜索引擎爬虫才不管路径偏不偏。

怎么防

备份文件别放Web目录，放上去也要加 .htaccess 或Nginx的 deny all。数据库用户权限收窄，FILE权限能不给就不给。secure_file_priv 设成空或者指定目录。Web服务器配置里把所有数据库后缀都deny掉，别偷懒。定期扫自己的站，看看有没有不该出现的文件。

数据库下载这事，技术含量不高，但后果直接。拿到数据库，等于拿到整站。用户表、订单表、后台密码，全在里面。别等被拖库了才想起来检查 /data/backup/ 目录。