内容摘要：2023年春天，一个做电商的朋友半夜给我打电话，声音发颤：他的网站首页被换成了一张黑底红字的图，上面用俄语写着“你们的数据库在我们手里”。他以为遇到了电影里那种顶级黑客，结果我帮他查了三天日志，发现入

2023年春天，黑掉一个做电商的个网朋友半夜给我打电话，声音发颤：他的黑掉网站首页被换成了一张黑底红字的图，上面用俄语写着“你们的个网数据库在我们手里”。他以为遇到了电影里那种顶级黑客，黑掉结果我帮他查了三天日志，个网发现入口只是黑掉一个两年没更新的WordPress插件——一个连脚本小子都能扫出来的漏洞。

黑掉一个网站，个网大多数时候跟“技术”关系不大，黑掉跟“懒”关系很大。个网

最省事的黑掉路径：找没关的门

网站后台的登录页，就是个网那扇门。很多人给门配的黑掉锁是“admin / admin123”。我做过一个不太严谨的个网测试：用公开的弱口令字典去撞一百个中小企业的后台，成功率大概在7%左右。黑掉这个数字听起来不高，但乘以全网的网站数量，就是几十万个敞开的门。

比弱口令更隐蔽的是过期组件。Drupal在2018年爆出过一个远程代码执行漏洞（CVE-2018-7600），当时大量站点中招，原因不是攻击多高明，而是官方补丁发布后，很多人根本没点“更新”。我见过一个政府下属机构的网站，PHP版本停留在5.3，那是2014年就停止维护的版本。你不需要成为黑客，只需要在搜索引擎里搜“PHP 5.3 exploit”，就能找到现成的工具。

SQL注入：老掉牙，但一直管用

SQL注入被说烂了，可它每年还在OWASP前十名单里。原理简单：网站把用户输入直接拼进数据库查询语句，你在输入框里写一段SQL代码，数据库就照做了。2017年，一家做在线考试的平台被脱库，起因是登录框没做过滤。攻击者用 ' OR '1'='1 这种教科书级别的payload，直接绕过了密码验证，然后顺手导出了两万多名考生的身份证号。

防御方法也不复杂：参数化查询。但很多老系统是外包给个人开发者做的，代码里全是字符串拼接，改起来等于重写。于是就这么拖着。

XSS：偷的是你的登录态

跨站脚本攻击（XSS）不直接搞服务器，它搞的是访问网站的人。攻击者在评论区插入一段JavaScript，其他用户浏览时，这段代码就在他们浏览器里执行了。最常见的目标是偷Cookie——拿到你的session ID，就等于拿到了你的登录状态。

我见过一个论坛，有人在一个热门帖子里回复了一段伪装成图片的脚本。接下来三天，所有点开那个帖子的用户，只要当时处于登录状态，账号就会被自动发一条垃圾广告。论坛管理员查了半天服务器，什么问题都没发现，因为问题在用户的浏览器里。

物理层和社会工程：最容易被忽略的入口

技术手段之外，还有更原始的办法。2019年，一家做SaaS的公司被入侵，溯源发现攻击者先给客服发了一封钓鱼邮件，伪装成客户发来的工单截图。客服点开后，恶意软件装了键盘记录器。两周后，攻击者拿到了运维的VPN密码，然后从内部网络直接访问了数据库服务器。

这条路径里没有一行漏洞利用代码。它靠的是人对“客户”两个字的信任。

说回我那个朋友。他的网站最后恢复了，数据没丢，因为攻击者只是换了个首页图，没做进一步操作——大概率是自动化扫描工具批量打中的。他后来花了八千块找安全公司做了一次渗透测试，报告里列了十七个问题，其中九个是“组件版本过低”。

黑掉一个网站的门槛，取决于这个网站的主人有多久没管它了。你不需要是天才，你只需要比网站管理员勤快一点点。而大多数时候，这一点点就足够了。