2017年，网站黑客乌克兰一台普通办公电脑被植入了一个不到2MB的网站黑客远程控制程序。谁也没想到，网站黑客这个不起眼的网站黑客“小东西”后来掀翻了半个欧洲的电网。攻击者没用什么高深漏洞，网站黑客就是网站黑客一封带宏病毒的Word文档，收件人点了一下“启用编辑”，网站黑客门就开了。网站黑客

很多人以为黑客入侵是网站黑客电影里那种噼里啪啦敲键盘、屏幕跳出一堆绿色代码的网站黑客画面。真实情况无聊得多。网站黑客大部分入侵靠的网站黑客是“猜密码”和“骗人点链接”。Verizon每年发布的网站黑客数据泄露报告里，超过80%的网站黑客入侵事件涉及弱口令或钓鱼。你公司那个用“admin123”当密码的网站黑客测试服务器，就是整栋楼最薄的那面墙。

我见过一个案例。某中型电商网站，后台登录页没有任何限制，攻击者写了个脚本，每秒试100个密码。三个小时，管理员账号被撞开。进去之后发现数据库密码直接写在配置文件里，明文。再往后就简单了——导出用户表，挂到暗网卖。全程没有用到任何0day漏洞，没有SQL注入，没有花哨的绕过。就是密码太弱，加上权限没做隔离。

黑客挑目标的方式也跟你想的不一样。他们不盯大公司——大公司有安全团队、有WAF、有EDR。他们盯的是那些“刚好在线”的小站点。用Shodan或者FOFA扫一圈，找特定版本的CMS，比如WordPress某个老插件有已知RCE。批量扫，批量打。一个晚上能拿下几十个站。你辛辛苦苦搭的博客，在他们眼里只是自动化脚本里的一个IP。

有个做安全的朋友跟我说过一句话：“防守方要堵一千个洞，攻击方只需要找到一个。”这话不全对，但道出了某种不对称。你服务器打了补丁、装了防火墙、配了MFA，结果前台小姐姐在咖啡店连了假WiFi，把VPN密码输进去了。整条防线从最软的地方塌掉。

网站被黑之后的表现也分层次。低级的是首页被换成黑页，留个“Hacked by xxx”的签名，纯属炫技。中级的是偷偷挂马，每个访客都被重定向到博彩站。高级的是什么都不改，安安静静待着，定期往外传数据。你根本不知道。等发现的时候，数据库已经被拖了三个月。

说回乌克兰那件事。事后复盘，攻击者最早进入的就是一个员工的工作站。那台机器上存着VPN凭证，而VPN没有启用双因素认证。从点开Word文档到全国停电，中间隔了几个月。每一步都不复杂，但每一步都踩在“人”的疏忽上。

想防？先把“admin/admin”这种组合从你脑子里删掉。然后别指望一个防火墙解决所有问题。定期看日志，给不同系统设不同密码，别把数据库端口开到公网。这些事听起来琐碎，但黑客最怕的就是你“稍微认真了一点”。

最后说个真事。有个站长发现自己网站被入侵，查日志发现攻击IP来自一台路由器——那台路由器也是被黑的。攻击者用他的站当跳板，去扫下一个目标。你的网站被黑，可能只是别人链条里的一环。你甚至不是目标，只是路过的梯子。