去年冬天，黑客我在一个漏洞赏金平台上盯了三天，渗透终于摸进了一个地方小城政务系统的网站后台。不是黑客什么高深手法——他们用的CMS版本是2017年的，数据库账号密码居然还是渗透root/123456。我坐在出租屋的网站暖气片旁边，手指冻得有点僵，黑客但心跳快得像刚跑完八百米。渗透屏幕上是网站密密麻麻的居民社保记录，姓名、黑客身份证号、渗透家庭住址，网站全裸奔。黑客我没动任何数据，渗透截了图，网站提交报告，拿了八百块奖金。这事想起来后怕，也让我彻底明白一个道理：绝大多数网站被渗透，不是因为黑客多厉害，而是因为管理员太懒。

渗透的第一步从来不是敲代码。是翻。翻什么？翻网站的“边角料”。比如robots.txt，很多站点忘了删里面的后台路径；比如.git文件夹，如果服务器配置不当，你能直接把整个源码拖下来。我见过一个电商站，源码里硬编码了数据库密码，还是明文的。拿到源码等于拿到钥匙，剩下的只是找门在哪。这跟电影里那种对着黑屏狂敲键盘完全两码事，更像是在旧货市场翻垃圾，耐心比技术重要。

接着是扫端口。nmap跑一遍，看看开了哪些服务。22端口开着？试试弱口令。3306开着？看看能不能直接连。有一次我遇到一个服务器，22端口用hydra跑了十分钟，试出密码是“admin123”。登进去一看，sudo权限没设限，直接root。整个过程没写一行exploit。你说这算黑客吗？算，但更像捡漏。真正的渗透测试里，这种“低垂的果实”占成功案例的六成以上。

当然也有硬骨头。去年帮朋友查一个站，WAF拦得死死的，SQL注入试了二十种编码全被吃掉。后来发现他们用了某个老版本的编辑器插件，上传图片时没校验文件头。我把php代码塞进jpg里，改后缀，绕过了检测。拿到webshell那一刻，感觉像用一根铁丝捅开了防盗门——不是门不结实，是锁芯老化。这种漏洞在CVE数据库里一抓一大把，但管理员总觉得“我的站没人盯”。

说个真事。某高校教务系统，我通过一个未授权的API接口拿到了全校学生的课表。接口地址是“/api/v1/student/course?student_id=”，把学号从20210001递增到20219999，服务器照单全收。没有验证，没有限流。我写了个python脚本跑了十分钟，数据全下来了。后来报告给校方，他们回了一句“我们会评估”。三个月后再看，接口还在，只是加了个验证码——形同虚设，因为验证码是前端生成的。

渗透到最后，拼的是信息差。你知道的别人不知道，你就能进去。那些0day当然存在，但轮不到普通人。普通人能碰到的，是没改的默认密码、没关的调试模式、没删的测试页面。我认识一个老哥，专门扫全网开放了Elasticsearch的服务器，啥也不干，就看看里面有没有敏感数据，然后提交给CNVD。一年下来赚了十几万。他的工具就一个浏览器和curl命令。

所以别把黑客想得太玄。大部分时候，我们只是比管理员多按了几次F5，多看了几眼返回包里的报错信息。一个网站被渗透，根子上是运维的疏忽，不是攻击者的天赋。你要是管理员，今晚就去检查一下有没有备份文件留在web目录里，有没有用默认口令，有没有把phpinfo暴露在外。这三件事做完，能挡住八成像我这样的人。剩下的两成，那得靠真本事——但说实话，真本事的黑客，没空盯着你那点数据。

(责任编辑：休闲)