如何黑一个网站

2019年，何黑一个朋友让我帮他看看他的个网小电商站为什么老是被篡改首页。我打开F12看了一眼，何黑后台登录接口直接明文POST，个网验证码是何黑前端JS生成的，连session都没绑IP。个网我随手写了个Python脚本，何黑三分钟跑出了他的个网管理员密码——123456。这网站不黑它，何黑都对不起它自己。个网

所以别把“黑网站”想得多神秘。何黑大多数时候，个网它跟开一把没锁的何黑门差不多。真正难的个网是找到那扇没锁的门，以及——别把自己送进去。何黑

先搞清楚：你是在找漏洞，还是在犯罪

没授权就去碰别人的服务器，刑法第285条写得明明白白。我写这篇文章不是教你蹲监狱。懂攻击原理是为了防守。你拿自己搭的靶场练，拿VulnHub、HackTheBox打，没人管你。对着真实商业网站扫端口？那叫踩点，也叫证据。

我见过最蠢的案例：一个大学生用AWVS扫了学校教务系统，被记过。他以为自己只是“测试”。日志里他的IP、User-Agent、扫描时间全躺着呢。

信息收集：比你想的枯燥

黑站的第一步不是敲代码，是翻垃圾。Whois查注册邮箱，子域名爆破找边缘系统，Google语法搜泄露的配置文件。我习惯用dirsearch跑一遍目录，经常能翻出.git或者backup.zip。去年一个客户的后台地址就是/admin_old/，密码写在readme.txt里，因为开发懒得删。

有个技巧：看网站的robots.txt。它告诉你哪些目录不想被爬，等于告诉你哪些目录有意思。

漏洞利用：九成是低级错误

SQL注入、XSS、文件上传——这些词你听腻了，但真实世界里它们还活着。原因简单：外包赶工、老系统没人维护、开发不懂安全。

我遇过最离谱的注入点在一个“忘记密码”功能里。输入邮箱后，后端直接拼SQL查用户，连预编译都没用。我输了个' OR 1=1--，它把全库用户邮箱吐给我了。这种站，黑它不需要天赋，需要的是耐心。

文件上传也一样。前端校验后缀，后端不校验。你把shell.php改成shell.php.jpg，抓包改回.php，完事。如果服务器还配了.htaccess允许解析，那你直接拿shell。

权限维持：别急着删日志

很多人拿到webshell第一件事是提权。其实先看看whoami和systeminfo。如果是www-data，找内核漏洞或者SUID文件。如果是root——那你运气好到该去买彩票。

我习惯在/tmp留个后门，名字改成.cache。别用c99那种大马，特征太明显。写个十行的Python反弹shell，够用。

清理日志？/var/log/auth.log、access.log、lastlog。但别全删，管理员一看日志空了就知道被入侵了。改时间戳，插入假记录，或者干脆只删自己那几行。这活儿细，急不得。

最后说点实在的

我写这些不是让你去黑站。是让你知道，你维护的网站可能多脆弱。去下个DVWA，把难度调到low，把每个漏洞亲手打一遍。然后调到high，看看为什么打不穿了。这比看一百篇教程有用。

还有，别用admin/admin。真的。我扫过的站里，三成后台密码是弱口令。你改个复杂密码，就挡住了八成脚本小子。

安全这事，从来不是技术问题，是态度问题。