内容摘要：去年冬天，一个做跨境电商的朋友半夜给我打电话，声音发紧。他说自己公司的服务器被拖走了——不是警察，是黑客。对方在数据库里留了张纸条，要三个比特币，否则把客户信息挂暗网上卖。他问我：“他们怎么进来的？”

去年冬天，非法一个做跨境电商的网站朋友半夜给我打电话，声音发紧。渗透他说自己公司的非法服务器被拖走了——不是警察，是网站黑客。对方在数据库里留了张纸条，渗透要三个比特币，非法否则把客户信息挂暗网上卖。网站他问我：“他们怎么进来的渗透？”我让他查日志，结果发现漏洞简单得可笑：一个两年没更新的非法WordPress插件，权限设置是网站777。

非法网站渗透，渗透多数时候不是非法什么高深技术对抗。攻击者像半夜挨个拉车门的网站小偷，专找没锁的渗透。我见过最离谱的案例，是一家小医院的预约系统，后台密码居然是“admin123”。入侵者没用什么零日漏洞，就是拿常见密码字典跑了一遍，五分钟就进去了。进去之后也没干什么大事，把预约列表里的名字全改成了“傻X”。医院查了三天才发现，因为没人天天看后台。

这类渗透的目标很杂。有些是纯粹炫技，有些是勒索，还有些是拿服务器当跳板——用你的机器去攻击别人，警察找上门先找你。我跟踪过一个僵尸网络，节点里居然有某地政府部门的旧服务器，系统是Windows Server 2003，微软早就不发补丁了。它被用来发垃圾邮件，发了两年多，管理员浑然不觉。

技术门槛在降低。十年前搞渗透得会写脚本、懂协议，现在网上有现成的工具包，带图形界面，点几下就能扫IP段、找漏洞、传后门。一个初中生拿“菜刀”就能连上别人网站的后台。去年有个新闻，某地破获一起案件，主犯才十七岁，他渗透了二十多个网站，动机是“想看看里面有什么”。

但别以为只有小网站遭殃。大平台也常被盯上，只是不说。某知名社交平台被渗透过，攻击者通过一个离职员工的VPN账号进了内网。那账号没注销，密码也没改。他在内网待了三个月，拷走了部分用户数据。平台后来发现了，但对外只说是“系统维护”。

防御这事，说复杂也复杂，说简单也简单。我自己的服务器就三条规矩：不用弱密码、及时打补丁、关掉不用的端口。听起来像废话，但九成被渗透的网站，至少违反其中一条。有个做安全的朋友说得更直接：“大多数网站不是被攻破的，是自己把门敞开的。”

还有个现象值得注意：很多非法渗透发生在凌晨两到四点。攻击者知道这个时段管理员在睡觉，报警没人看，日志没人查。我见过一个案例，入侵者甚至特意等到周五晚上动手——因为周末没人上班，等周一发现，数据早被搬空了。

法律这块也在收紧。以前抓到渗透的，多数拘留几天就放了。现在不同，刑法里“非法获取计算机信息系统数据罪”最高能判七年。去年有个案子，一个黑客渗透了某游戏公司服务器，改了充值数据，给自己刷了价值八万块的装备。判了四年，罚了十万。法官在判决书里写了一句：“技术能力不是免罪理由。”

说到底，非法网站渗透是场不对称战争。攻击者只需要找到一个漏洞，防御者得堵住所有漏洞。但这不是摆烂的理由。我那个朋友后来把服务器重装了，换了强密码，装了监控。他说现在晚上能睡着了。虽然偶尔还会梦见那张比特币纸条。