如何攻击一个网站

2016年，何攻一个叫“影子经纪人”的网站黑客组织公开叫卖NSA的网络武器库，其中一款工具能在几分钟内打穿当时全球60%的何攻网站。不是网站因为这些网站有多菜，而是何攻因为它们跑着同一个带漏洞的Struts框架。攻击一个网站，网站很多时候不需要你有多天才，何攻只需要你比管理员早一步知道哪里烂了。网站

先搞清楚一件事：绝大多数网站攻击不靠暴力破解密码，何攻靠的网站是找“没关好的门”。SQL注入是何攻最经典的例子。你在搜索框里敲一个单引号，网站如果页面报数据库错误，何攻那基本就中奖了。网站原理很简单——网站把用户输入和SQL语句拼在一起，何攻你输入' OR 1=1 --，登录验证直接绕过。2012年，雅虎语音被拖库，450万条明文密码泄露，就是注入的“功劳”。这东西到今天还活着，因为总有程序员偷懒。

跨站脚本（XSS）比注入更隐蔽。你留言板里写一段<script>alert('xss')</script>，如果网站没过滤，每个访问这条留言的人都会执行你的代码。攻击者用这个偷cookie、劫持会话、甚至植入键盘记录器。2018年，英国航空官网被注入恶意脚本，38万张信用卡信息在用户结账时被直接偷走。网站本身没被黑，但用户浏览器成了帮凶。

文件上传漏洞更直接。很多网站允许你传头像，但只检查了扩展名。你把shell.php改成shell.jpg，上传后再用路径遍历访问它，服务器就执行了你的PHP代码。2017年，某国内CMS爆出上传漏洞，攻击者上传一个“图片”，三秒后拿到服务器root权限。防御方法？白名单校验、重命名文件、把上传目录设成不可执行——但很多开发图省事，只改了个后缀名就完事。

再说暴力破解。不是所有网站都有验证码。2020年，某电商后台被撞库，攻击者用10万个邮箱加“123456”跑了一遍，登进去3000多个账号。工具是Burp Suite的Intruder模块，免费版就够用。更懒的办法是找已泄露的数据库，直接拿账号密码去试。这叫“凭证填充”，成功率比你想的高，因为人类总爱复用密码。

DDoS攻击是另一条路。不偷数据，只让你打不开。2016年，Mirai僵尸网络用摄像头和路由器组成百万级肉鸡，把DNS服务商Dyn打瘫，推特、Netflix、亚马逊全挂。攻击流量达到1.2Tbps。这种攻击没技术含量，就是拼带宽。但小网站扛不住——一个月200块的虚拟主机，被10Gbps流量一冲，直接进黑洞。

还有更阴的：供应链攻击。你网站没问题，但你用的第三方JS库被投毒了。2020年，一个叫“Event-Stream”的npm包被植入恶意代码，专门偷比特币钱包。几万个网站中招，因为它们都引用了这个包。你管不了别人的代码，但你可以用SRI（子资源完整性）校验，或者干脆自己托管依赖。

说这些不是教你黑站，是让你明白：攻击面比你想的宽。一个登录框、一个上传按钮、一个过期的WordPress插件，都是入口。防御的核心就三条——输入验证、最小权限、及时打补丁。但现实里，90%的网站连第一条都做不完整。所以别问“我的网站会不会被攻击”，问“今天有没有人扫到我”。

最后提一句：未经授权攻击网站是犯罪。中国刑法第285条，非法侵入计算机信息系统罪，最高七年。你可以在自己搭的靶场里练，比如DVWA、OWASP Juice Shop。别碰别人的服务器。