去年秋天，简单我帮一个开咖啡馆的攻击个网朋友看他的官网。页面加载要八秒，简单图片全糊，攻击个网移动端直接错位。简单我问他最近有没有得罪什么人。攻击个网他说没有，简单就是攻击个网上个月辞了个兼职的大学生，那小子走的简单时候脸色不太好看。我说你回去查一下后台登录日志。攻击个网第二天他打电话过来，简单声音都变了——那个学生用默认密码进了后台，攻击个网把首页轮播图换成了老板娘的简单丑照，还删了三个产品页面。攻击个网这就是简单最朴素的"攻击"：不需要什么高深技术，知道门在哪，推一下就行。

很多人把"攻击网站"想得太神秘。其实大部分真实发生的案例，手段都笨得让人失望。比如SQL注入，听起来像黑客电影里的台词，本质就是在输入框里填一段特殊字符，看看网站会不会把你的话当成命令执行。我见过一个卖二手书的网站，搜索框输入一个单引号直接报错，页面上跳出数据库路径和表名。这种错误信息对开发者来说是调试用的，对别人来说就是地图。顺着这张地图，有人能一路走到用户表，把手机号和密码哈希拖下来。

再说一个更省事的：目录扫描。网站根目录下往往藏着一些不该公开的东西——备份文件、测试页面、后台入口。有人写个脚本，拿字典里的常见文件名一个个试，/admin、/backup.zip、/.git，总有一个能撞开。我自己的博客就被扫过，日志里全是/.env的请求，一天几百次。对方不一定有明确目标，就是广撒网，谁没锁门就进谁家。

还有一种攻击甚至不需要碰服务器。去年有个做电商的朋友，竞争对手在社交平台上发了一篇"这家店卖假货"的帖子，附了几张模糊的聊天截图。帖子本身没什么技术含量，但三天之内朋友的店铺评分掉到两星，客服被骂到关站。这算不算攻击？从技术角度看不算，从结果看比SQL注入狠多了。网站的安全边界从来不只在于代码，还在于人对它的信任。

如果你真想"简单攻击"一个网站，最有效的路径往往不是技术，而是人。去翻它的招聘信息，看它用什么技术栈；去它的社交媒体找员工抱怨；去GitHub搜它的域名，看有没有人把密钥传上去。我认识一个做渗透测试的，他接活之后第一件事是给目标公司的前台打电话，假装是IT支持，问对方能不能帮忙重置一下VPN密码。十次里有三次能成。技术再硬，也硬不过一个愿意配合的人。

当然，说这些不是教人干坏事。恰恰相反，知道门怎么被推开，才知道该往哪加锁。那个咖啡馆的网站后来换了后台地址，加了登录验证码，数据库密码从123456改成了随机字符串。成本几乎为零，但那个兼职学生再想回去换轮播图，就得费点劲了。安全这件事，很多时候不是防高手，是防随手一推。而随手一推的人，往往比你想的多得多。