2023年秋天，何黑网站我蹲在出租屋里啃一个电商后台的何黑网站登录接口。目标站用的何黑网站是某开源商城系统，版本号没藏，何黑网站页脚直接写着"Powered by XXX v5.2"。何黑网站我打开搜索引擎，何黑网站输入版本号加"exploit"，何黑网站第三条结果就是何黑网站一个Github仓库，PoC代码明晃晃摆在那。何黑网站整个过程不到二十分钟。何黑网站这不是何黑网站电影里的黑客场景，没有绿色代码雨，何黑网站没有敲键盘如飞。何黑网站真实的何黑网站"黑网站"大多是这样——找已知漏洞，套现成工具，何黑网站拼的是信息搜集和耐心。

绝大多数网站被攻破，不是因为攻击者多聪明，而是防守方留了太多门。我见过一个企业官网，后台路径是/admin，账号admin，密码admin123。你没看错。这种站根本不需要"黑"，你只是走进去而已。另一个常见情况是备份文件泄露。有人用压缩包备份整站，文件名就叫www.zip，往根目录一扔，忘了删。浏览器访问一下，源码全到手，数据库配置文件在里面躺着，账号密码明文写着。

SQL注入算是最经典的入口。原理不复杂：网站把用户输入直接拼进数据库查询语句，你输入的东西如果包含SQL语法，数据库就会当命令执行。比如登录框，正常输入用户名，后台执行的是SELECT * FROM users WHERE name='你的输入'。如果你输入' OR 1=1 --，查询就变成SELECT * FROM users WHERE name='' OR 1=1 --'，条件永远为真，直接绕过密码验证。当然，现在稍微像样的框架都有参数化查询，这种低级注入越来越少。但老系统、外包赶工的项目、内部管理后台，依然是重灾区。

文件上传漏洞更好理解。网站让你传头像，只检查了文件后缀是不是.jpg，你把文件名改成shell.jpg.php，或者用Burp Suite抓包改Content-Type，服务器就把你的PHP文件当图片存进去了。然后你访问那个文件路径，服务器一执行，你就能在上面跑任意命令。我见过最离谱的是一个政府下属单位的OA系统，上传目录可以直接列文件，连路径都不用猜。

XSS跨站脚本是另一条路。你在评论区输入<script>alert(1)</script>，如果网站没过滤，这段脚本就会在其他用户浏览器里执行。alert(1)只是弹个框证明存在漏洞，真正恶意的人会写脚本窃取cookie，或者伪造登录表单骗密码。存储型XSS危害最大，因为payload存在数据库里，每个访问该页面的用户都会中招。

拿到低权限之后，提权是下一步。常见手法是找服务器上的SUID文件、计划任务、内核漏洞。Linux内核提权漏洞每隔一两年就出一个大的，比如Dirty Pipe。Windows服务器上，弱口令的远程桌面、未打补丁的SMB漏洞（永恒之蓝那种）都是入口。我认识一个做渗透测试的朋友，他进内网最常用的方法不是0day，是翻员工邮箱找VPN账号密码——很多人在邮件里明文传过。

说这些不是教人犯罪。国内刑法第285条、286条写得清楚，非法侵入计算机信息系统、破坏计算机信息系统，都是刑事犯罪。我写这篇文章，是想让做站的人知道攻击者怎么想。你不需要成为安全专家，但至少把后台路径改掉、默认密码换掉、备份文件删掉、框架及时升级。这几件事做到，能挡掉九成以上的自动化扫描和脚本小子。

安全圈有句话：世界上只有两种网站，一种知道自己被黑了，一种不知道自己被黑了。话糙，但我在实际扫描中确实见过太多被挂马几个月没人发现的站。搜索引擎结果里那些卖假药、赌博的页面，很多就是正常网站被入侵后加的。站长可能到现在还蒙在鼓里。