如何扒网站源码

扒网站源码这事儿，何扒听着像黑客干的网站活，其实门槛低得吓人。源码你打开任意一个网页，何扒鼠标右键，网站点“查看页面源代码”，源码HTML、何扒CSS、网站JavaScript就摊在你面前了。源码这不算扒，何扒顶多算掀了层窗帘。网站真正的源码扒，是何扒连后台逻辑、接口结构、网站甚至服务器框架都想翻出来。源码

我见过最野的路子，是直接按F12打开开发者工具。别笑，真有人靠这个吃饭。Network标签页里，每个请求都像快递单号，你能看到前端跟服务器说了什么悄悄话。比如某个电商网站，搜索商品时跳出一个接口叫/api/getPrice，参数里藏着商品ID——那你就能试着改ID，把别人的商品价格调出来看。这不算漏洞，这叫“信息泄露”，但很多新手就是从这里开始理解“源码”不只是代码，更是数据的流动路径。

再进一步，有人会去翻JS文件。压缩过的代码像一团乱麻，但格式化后能看出端倪。比如有个叫config.js的文件，里面可能写着apiBaseUrl: 'http://192.168.1.1:8080'——好家伙，内网地址直接暴露了。这时候你再用这个地址去访问，说不定能撞进后台管理页面。密码？试试弱口令，admin/admin，能进就是运气，进不去就换下一个目标。

更狠的招数是看HTML注释。很多程序员偷懒，把调试信息留在注释里。我扒过一个摄影论坛，首页源码底部写着<!-- TODO: 修复用户上传漏洞，别忘改upload.php的权限 -->。你看，这等于自己把作案工具摆在桌上。顺着upload.php摸过去，果然没做文件类型校验，传个PHP一句话木马就能拿下webshell。这活儿不需要高深技术，纯粹是细心活。

但说句实在话，扒源码最核心的功夫不在浏览器里，而在“猜”和“试”。你得猜目录结构，比如/admin、/backup、/test这些常见路径，然后拿工具扫。我习惯用dirsearch，跑一遍能发现很多惊喜。有次扫一个政府网站，直接炸出/sql_backup_2023.zip，下载下来解压，数据库密码明文躺在里面。那感觉，像捡到别人丢的钥匙，顺手开了扇门。

当然，扒完了得知道怎么用。源码里最值钱的是逻辑漏洞，而不是代码本身。比方说，某个支付接口在前端算总价，你改一下金额参数就能0元购。这种问题，静态看代码根本发现不了，得动态调试——打断点、改内存值、重发请求。我见过最离谱的案例，是有人通过修改Cookie里的user_type字段，从普通用户变成管理员，就因为这个字段是前端生成的，没做服务端校验。

最后劝一句，扒源码别越界。看看公开页面、研究自己的项目、测试授权的靶场，都没问题。但你要是真拿这招去搞别人的生产环境，轻则封IP，重则喝茶。我认识一个兄弟，扒某小贷公司源码，发现他们数据库密码是123456，手贱登录看了一眼，结果被反追踪到家庭住址——对方直接打电话过来，语气平静得吓人：“兄弟，你刚看了不该看的东西。” 他吓得三天没睡好。技术是死的，人是活的，点到为止才是高手。