凌晨两点十七分，我的服务器日志里多了一条记录。IP来自敖德萨，UA字符串是Firefox 45——一款2016年就停止支持的浏览器。这条记录本身没什么特别，真正让我脊背发凉的是它访问的路径：/wp-admin/admin-ajax.php，每秒请求七次，精确得不像人类。

我盯着屏幕看了五分钟。日志还在滚动，像某种无声的摩尔斯电码。这不是第一次了。上个月有个客户的公司网站被挂马，整整三天没人发现。黑客在首页底部藏了一段十六进制代码，只有搜索引擎爬虫和特定IP才能触发跳转。等我找到那段代码时，它已经安静地躺了七十二小时，给某个赌博网站输送了超过两万次点击。

web入侵从来不是电影里那种炫酷的攻防战。它更像在别人家里撬锁，而大部分房主连门都没反锁。最常见的攻击路径不是零日漏洞，而是弱口令。“admin/admin123”至今仍是全球最流行的登录凭证，我见过一家年营收过亿的电商公司，后台密码是老板的生日。

SQL注入是另一个老掉牙的把戏。攻击者往输入框里塞一段单引号，就能让数据库乖乖吐出任你摆布的数据。十年前就有人用这招拖走了几亿条用户信息，到现在仍有大量站点裸奔。我随手测试过几个中小型企业的搜索框，大概三成会返回语法错误——那就是最原始的开锁信号。

更隐蔽的是业务逻辑漏洞。有次我帮朋友排查一个积分商城，发现修改请求包里的负数字段就能无限刷分。没有注入，没有越权，纯粹是程序员没想过会有人把数量改成负数。这种漏洞最气人，因为它根本不需要高深技术，只需要一点点不守规矩的想象力。

真正的入侵往往发生在你看不见的地方。攻击者可能已经潜伏在你服务器里几个月，每天深夜悄悄复制数据库备份。他们不搞破坏，不弹勒索界面，只是安静地当个数字幽灵。等你发现异常时，那些数据早就在暗网里转了好几手。

说到底，web入侵拼的不是技术高低，而是耐心和细心。黑客有的是时间，而你只有下班后才会想起看一眼日志。我认识一个白帽子，专门蹲在漏洞平台抢单，他说这行最核心的技能就是“比开发者更了解他们自己的系统”。这话听着讽刺，却是事实。

我关掉终端，给那台服务器改了SSH端口，换了密钥对，又加了两道fail2ban规则。这大概能挡住九成脚本小子。但我知道，真正的高手根本不在乎这些——他们早就进去了，只是还没想好什么时候让你知道。