如何黑入网站

先泼盆冷水：如果你现在打开浏览器，在地址栏里敲几个字符就想把某个网站“黑掉”，入网那大概率只会看到一片白屏或者 403 错误。何黑真正的入网入侵不是电影里那种狂按键盘、屏幕弹出绿色代码的何黑画面。它更像是入网在别人家后院里找一扇没锁的侧门——你得先知道门在哪，还得有耐心蹲点。何黑

我最早接触这行是入网十年前，在IRC频道里看人用 sqlmap 扫一个地方小企业的何黑官网。那网站用的入网是老版 Drupal，后台登录页面甚至没开 HTTPS。何黑当时有个叫“老猫”的入网ID，花了不到二十分钟，何黑从 ?入网id=1' 报错开始，一路拖出了整张用户表。何黑他没改首页，也没删数据，只是把管理员密码哈希贴到频道里，说了句“这站该升级了”。那是我第一次意识到，大部分网站被黑不是因为攻击者多厉害，而是防守方太懒。

从信息收集开始，但别急着动手

真正干这行的人，70%的时间花在踩点上。打开目标网站，先看 robots.txt 和 sitemap.xml，这两个文件经常暴露后台路径或者备份目录。比如某个电商站，robots.txt 里写着 Disallow: /admin-backup-2022/，结果那个目录连密码都没设，直接能下载整个数据库的 .sql 文件。这种事我见过不下五次。

接着查 whois，看注册邮箱和电话。很多小公司会用同一个邮箱注册域名、SSL 证书、甚至 GitHub 账号。如果那个邮箱出现在某次数据泄露里（比如 haveibeenpwned.com 能查），攻击者就能直接撞库。我认识一个做渗透测试的，他靠一个 2016 年泄露的论坛密码，登进了某市政府外包公司的运维后台——因为那个管理员十年没换过密码。

漏洞利用不是魔法，是耐心加一点运气

现在主流入口就那几个：SQL 注入、文件上传、SSRF、反序列化。但别指望 ' OR 1=1 -- 还能通杀。现代框架比如 Django、Rails、Spring Boot 默认都防住了。真正好使的是逻辑漏洞。举个例子，某在线教育平台允许用户上传头像，它只检查了 Content-Type，没检查文件头。上传一个 shell.php.jpg，再用路径穿越 ../../ 把它挪到 web 目录，就拿到了 webshell。整个过程不需要任何 0day。

还有更蠢的：有些站把 JWT 密钥硬编码在前端 JS 里。打开开发者工具，搜 secret 或者 key，找到一串 base64，拿去 jwt.io 伪造一个 admin: true 的 token，直接进后台。我去年在一个政府招标网站上就这么干过——纯粹出于好奇，然后写了封邮件提醒他们。

黑入之后呢？大多数人根本不关心

你以为黑产会去改首页挂国旗？那是二十年前的手法。现在真正赚钱的是悄无声息地植入挖矿脚本，或者把你的网站变成 C2 服务器。我分析过一个被黑的 WordPress 站，攻击者在 wp-content/uploads 里放了一个 .htaccess，把所有 ?author=1 的请求重定向到博彩页面。网站管理员三个月都没发现，因为首页看起来完全正常。

还有更阴的：篡改支付接口。某独立站被黑了之后，攻击者只改了一行代码——把 PayPal 收款邮箱换成了自己的。用户付款照常成功，钱却进了别人口袋。等站长发现时，已经损失了四千多美元。这种攻击连杀毒软件都扫不出来，因为代码逻辑完全合法。

最后说点难听的

如果你看完这篇文章，第一反应是“快告诉我工具在哪下载”，那你趁早放弃。这行不需要脚本小子。真正的门槛不是技术，是思维方式——你得能像程序员一样理解代码，像管理员一样熟悉配置，像商人一样计算风险。我见过太多人拿着 Nmap 和 Burp Suite 扫了一堆站，最后连一个 302 跳转都看不懂。

网站安全说到底就是一场不对称战争。防守方要堵住所有洞，攻击方只需要找到一个。但好消息是，大部分网站连基本补丁都不打。你不需要成为天才，只需要比那个偷懒的运维多懂一点点。

就这样。别干坏事。