内容摘要：公司网站被黑那天，凌晨三点，我正在刷手机，突然收到告警邮件。打开后台一看，数据库里的用户表被导出了，整整两万条记录，包括密码哈希。查了日志，攻击者用的居然是一个三年前就公开的漏洞。修补补丁早就发布了，

公司网站被黑那天，网站凌晨三点，有漏原因我正在刷手机，网站突然收到告警邮件。有漏原因打开后台一看，网站数据库里的有漏原因用户表被导出了，整整两万条记录，网站包括密码哈希。有漏原因查了日志，网站攻击者用的有漏原因居然是一个三年前就公开的漏洞。修补补丁早就发布了，网站但没人去更新服务器上的有漏原因旧版本。

这就是网站网站有漏洞的第一个原因：懒。不是有漏原因技术难题，是网站运维人员懒得去升级，或者怕升级出问题影响业务。很多公司抱着“能跑就别动”的心态，把服务器扔在那里，一扔就是几年。PHP 5.6 都停止维护多久了？照样有人跑着。漏洞就明晃晃地挂在那里，像没上锁的门，就差贴个告示了。

另一个原因，得怪开发时的粗心。我见过一个电商网站，程序员把支付回调的验签逻辑写反了——先更新订单状态，再验证签名。这等于先把钱收了，再确认对方是不是真付款。攻击者只要伪造一个请求就能白嫖商品。这种逻辑漏洞，代码审查的时候但凡多看一眼就能发现，可惜很多团队根本不做代码审查，写完就上线，美其名曰“敏捷开发”。

还有一类漏洞，纯粹是设计缺陷。比如把用户上传的图片直接当HTML渲染，或者把搜索关键词拼进SQL语句里。这些老掉牙的问题，在OWASP Top 10里躺了十几年了，但新项目里照样层出不穷。有一次我帮朋友看他的个人博客，评论区居然能插入