网站受到的网站攻击类型有

上个月我朋友的小电商站被刷爆了信用卡，凌晨三点他给我打电话，击类声音发抖——后台显示几百笔订单，网站金额全是击类0.01元，收货地址却指向同一个城中村。网站那不是击类黑客炫技，是网站撞库攻击。黑客拿别人泄露的击类邮箱密码库，挨个试他的网站站，试中一个就下单测试，击类看能不能薅羊毛。网站

这类攻击最烦人，击类因为它不靠漏洞，网站靠的击类是用户习惯。你密码设得再复杂，网站架不住用户在其他小网站用同一个密码。攻击者根本不用猜，手里握着几亿条现成的账密组合，像拿万能钥匙捅锁，捅开一个是一个。

另一种更暴力的，是DDoS，分布式拒绝服务。去年某游戏开服当天被打了三小时，服务器像被塞满人的电梯，新玩家进不去，老玩家卡成幻灯片。攻击者租用肉鸡——就是被植入木马的普通电脑、摄像头、路由器——让它们同时向你的服务器发请求。带宽被吃满，CPU烧到100%，正常用户连页面都加载不出来。这种攻击不偷数据，纯粹是恶心人，往往带着勒索信：打钱，停手。

SQL注入则是老牌经典。十年前我见过一个招聘网站，搜索框里输入' OR 1=1 --，居然把整个用户表导出来了。原理很简单，开发者图省事，把用户输入直接拼进数据库查询语句。攻击者用引号闭合前面的条件，再用注释符把后面的逻辑废掉，数据库就乖乖把家底交出来。现在框架普遍防这个，但老系统、外包小项目里依然常见。

XSS攻击更阴，它不碰服务器，专坑访客。攻击者在评论区塞一段JavaScript，代码伪装成正常文字。其他用户打开页面，脚本就在他们浏览器里跑起来——偷cookie、篡改页面、弹假登录框骗密码。有次我测试某论坛，发了个帖子标题带<img src=x onerror=alert(1)>，结果自己刷新页面弹了三次警告框。要是换成恶意代码，访客的账号就没了。

文件上传漏洞也够呛。攻击者把PHP木马改名成jpg传上去，再想办法让服务器把它当脚本执行。一旦成功，整台服务器就成了他的后花园。我见过最离谱的案例，是某学校官网被上传了一个图片马，黑客用它当跳板，把整个教务系统的数据库拖走了，连学生成绩单都打包卖。

还有种攻击叫CSRF，中文叫跨站请求伪造。它不碰你的密码，而是利用你已登录的身份。你在A站登录着，又去逛B站，B站里藏了张图片，图片地址其实是A站的“改密码”接口。浏览器自动带着你的cookie去请求，A站以为是你本人操作，密码就改了。整个过程你毫无察觉，直到第二天登不进去。

别以为小网站没人盯。我见过用扫描器自动找漏洞的脚本，每天凌晨三点准时来试路径，试/admin、试/phpmyadmin、试/backup.zip，碰运气。这些攻击不针对特定目标，广撒网捞鱼。你站上但凡有个弱口令后台，或者没删的安装文件，分分钟被拿下。

最后说个冷门的——逻辑漏洞。它不靠技术，靠的是脑洞。比如某电商的优惠券可以叠加使用，有人注册一百个账号，把新用户券全领了，凑成0元单。又比如某平台找回密码流程里，短信验证码不设尝试次数限制，攻击者暴力猜四位数字，半小时就能试完。这种攻击最考验业务设计，代码层面看不出毛病，纯粹是规则没堵严。

网站被攻击不是概率问题，是时间问题。你防住了注入，可能漏了上传；修了上传，又忘了给后台加访问限制。攻击者永远比你多试一次。而你能做的，是把每次攻击当成压力测试，记录日志、分析路径、补上缺口——这行当没有“绝对安全”，只有“暂时没被打穿”。

本文地址：http://www.79wt.cn/news/1575c0199841.html