如何黑掉一个网站教程

2019年，何黑一个16岁的网站英国少年坐在自家卧室里，用一台树莓派和手机热点，教程花了不到四十分钟就拿到了某政府网站的何黑管理员权限。他没用什么0day漏洞，网站只是教程发现对方后台登录页的验证码是前端生成的，抓包把返回值改成"true"就进去了。何黑这件事当时在Reddit上讨论了很久，网站很多人骂网站开发蠢，教程但更值得琢磨的何黑是——攻击者根本没碰代码逻辑，绕的网站是"信任"两个字。

黑掉一个网站，教程核心从来不是何黑技术多高深，而是网站找到系统里"它以为你不会碰"的地方。

从登录框开始，教程那里最脆弱

大部分网站被拿下，入口都是登录页面。SQL注入是老招，但老招之所以老，是因为它一直管用。你在用户名框里输入 ' OR '1'='1' --，如果后台是拼接SQL查询的，数据库会把你当成合法用户放进去。2023年我还见过一个地方论坛用这种写法，开发者在GitHub issue里承认自己"忘了过滤"。这不是技术问题，是态度问题。

更隐蔽的是JWT令牌篡改。很多网站把用户角色写在token里，签名用弱密钥或者干脆不验证。你用Burp Suite抓到自己的token，把 "role":"user" 改成 "role":"admin"，重新提交。如果服务器只解码不验签，你就成了管理员。我试过一个电商后台，他们的密钥是"secret"，字典跑三秒就出来了。

文件上传是后门直通车

允许上传头像的网站，十有六七没做内容检查。你传一个 shell.php，内容就一行 <?php system($_GET['cmd']); ?>。如果服务器没禁用PHP执行，访问这个文件加参数就能跑系统命令。去年某在线教育平台就是这么被刷的，攻击者传了个伪装成jpg的php文件，然后 cat /etc/passwd 看用户列表。修复方法也简单——把上传目录设成不可执行，但很多运维根本不知道这回事。

绕过检查的花样更多：改Content-Type为image/jpeg，文件名用 shell.php.jpg，或者在文件头加GIF89a。防御方如果只查扩展名，这些全都能过。

子域名和旧接口是遗忘的角落

主站防得严，不代表 test.example.com 或者 old-api.example.com 也安全。这些子域经常指向测试环境，用默认密码或者干脆没密码。我见过一个政府网站，主站HTTPS证书齐全，但 dev. 开头的子域直接暴露了数据库备份文件，下载下来一看，管理员密码是明文。

还有API版本问题。v1接口有漏洞，v2修了，但v1没下线。攻击者用旧版路径就能绕过新加的防护。这种"版本残留"在快速迭代的互联网公司里特别常见。

社会工程学比代码更有效

技术手段再强，也架不住有人主动给钥匙。钓鱼邮件冒充IT部门要密码，电话里假装供应商要验证码，甚至直接在LinkedIn上找员工套信息。2021年某社交平台被黑，起因就是攻击者给客服打了个电话，说"我是CEO，忘了密码，帮我重置一下"。客服真信了。

这不是电影情节。很多网站的安全边界不是防火墙，是人的判断力。你花三个月找SQL注入，不如花三小时写一封像模像样的钓鱼邮件。

防御方的视角

如果你不想自己的网站被这么搞，几件事必须做：参数化查询代替拼接SQL，上传目录禁止执行脚本，JWT用强密钥并验证签名，子域名和旧接口定期扫描下线，员工培训别只发PDF。还有，别用"secret"当密钥。

攻击者不看你代码写得多优雅，只看你哪里偷了懒。一个未过滤的输入框，一个忘记删的测试账号，一个没设权限的备份文件——这些才是真实世界里的"漏洞"。技术只是工具，懒惰和侥幸才是根源。