内容摘要：在数据库里改个数字，比你想象中简单得多——前提是你得先摸到那扇门。2019年，美国征信公司Equifax被曝出1.43亿用户数据泄露，攻击者用的不是科幻电影里的量子破解，而是Apache Struts

在数据库里改个数字，何黑比你想象中简单得多——前提是掉网你得先摸到那扇门。2019年，站改美国征信公司Equifax被曝出1.43亿用户数据泄露，数据攻击者用的何黑不是科幻电影里的量子破解，而是掉网Apache Struts框架上一个公开了四个月的漏洞补丁没打。你看，站改黑掉网站改数据，数据本质上跟溜进一栋没锁后门的何黑写字楼差不多。

先别急着搜“黑客工具包”。掉网真正的站改第一步是侦察。你得知道目标跑什么系统，数据用哪个数据库，何黑甚至运维人员有没有偷懒用默认密码。掉网Google搜“site:target.com inurl:admin”，站改或者用Shodan扫一下开放端口，这些操作不需要任何技术门槛。我见过最离谱的案例，某电商平台的后台地址直接写在robots.txt里，等于把保险柜钥匙贴在办公室玻璃门上。

拿到入口之后，SQL注入是老生常谈但永远有效的手段。登录框里输入`' OR '1'='1`，如果页面直接放你进去，那这网站基本等于裸奔。改数据的话，更狠的是union select语句——比如把订单金额字段拼上`union select 1,2,9999,4`，运气好就能把价格改成任意值。前年某共享单车平台被薅羊毛，就是有人用这招把骑行费用改成负数，反而倒赚了平台积分。

但说实话，现在稍微正规点的公司都会做参数校验，裸奔的越来越少。这时候你得换个思路——找人的漏洞。XSS攻击能把恶意脚本塞进评论区，管理员一浏览页面，cookie就被你截获。前阵子有个新闻，某高校教务系统被入侵修改成绩，后来查出来是学生往选课系统的“备注”字段里插了段JavaScript，等老师查看名单时自动给指定学号改分。这手段不算高明，但胜在精准打击。

你要是想改的是用户数据而非系统配置，直接拖库更省事。弱口令爆破听着土，实战效率惊人——用Hydra挂个一万条的常用密码字典，对着SSH端口跑一晚上，总有几个员工用“123456”或者“company2023”这种智商税密码。拿到服务器权限后，MySQL里执行个`UPDATE users SET balance=100000 WHERE id=1`，比在网页端折腾注入爽快多了。当然，前提是你没被fail2ban拦下来。

别以为这些操作离你很远。我认识个白帽子，接单测试某银行APP，发现他们给第三方接口的鉴权token竟然写死在安卓安装包里。用Jadx反编译，直接提取token调API改自己的信用分，整个过程不到二十分钟。事后银行修复漏洞时还嘴硬说“不影响核心业务”——直到他演示了能把任意账户的转账限额调到五百万。

最后泼盆冷水。改数据容易，擦屁股难。数据库日志、Web访问记录、甚至云厂商的审计快照，全是你留下的脚印。Tor+VPN绕路只是基础操作，你得学会清除bash_history，还得保证改完数据后业务逻辑不崩——比如你光把价格改成0，但没改库存校验逻辑，下单时直接报错，反而暴露了异常。

这行当的真正门槛不在于技术，而在于你愿不愿意承担后果。Equifax那哥们儿现在还在联邦监狱里蹲着呢。