内容摘要：2023年秋天，一个朋友把自家路由器后台的登录页面截图发给我，说“你能进去吗”。我看了眼，默认密码没改，admin/admin，三秒就进去了。他愣住，说这也算黑客？算，也不算。真正的入侵比这枯燥得多，

2023年秋天，何黑一个朋友把自家路由器后台的进网登录页面截图发给我，说“你能进去吗”。何黑我看了眼，进网默认密码没改，何黑admin/admin，进网三秒就进去了。何黑他愣住，进网说这也算黑客？何黑算，也不算。进网真正的何黑入侵比这枯燥得多，也复杂得多。进网

想黑一个网站，何黑第一步不是进网敲代码，是何黑蹲点。我习惯先看这个站用什么搭的——F12打开开发者工具，看响应头里的Server字段，再看有没有WordPress的wp-content路径，或者Drupal的CHANGELOG.txt。这些信息像门牌号，告诉你屋里住的是谁、锁是什么牌子。有次我盯上一个小型电商站，发现它跑的是三年前的老版Magento，CVE编号一查，已知漏洞十来个。接下来就是找入口。

入口往往不在正门。登录框有验证码、有次数限制，硬撞是找死。但网站通常有别的口子：一个忘了删的测试页面、一个没做权限校验的API接口、甚至一张图片的EXIF信息里藏着开发环境的IP。我见过最离谱的，是某公司官网的“招聘”页面，上传简历的功能直接返回了服务器绝对路径，连报错都没关。这种疏忽比任何0day都好用。

拿到入口后，得想怎么执行代码。SQL注入是老手艺了，现在大部分框架都防住了，但自己手写的查询照样漏。比如一个根据ID查新闻的接口，URL里?id=1后面加个单引号，如果页面报数据库错误，基本就有戏。再往下，用union select把管理员密码哈希拖出来，或者用into outfile写个webshell——前提是数据库权限够大，现在云数据库默认都不给了。这条路越来越窄。

更常见的是文件上传漏洞。一个头像上传功能，只在前端用JS检查了后缀名，后端啥也不管。你把shell.php改成shell.php.jpg传上去，再想办法让服务器把它当PHP解析——比如配合.htaccess或者Nginx的配置错误。我试过一个站，上传目录可以直接访问，传完菜刀连上去，整个服务器就归你了。那一刻没有电影里的绿字瀑布，只有命令行里一个安静的whoami。

拿到webshell只是开始。你要提权，从www-data变成root。Linux内核漏洞、SUID配置错误、计划任务里可写的脚本——这些都得一点点翻。Windows服务器更麻烦，但要是IIS开了WebDAV，一个PUT请求就能传文件。我印象最深的一次，是目标机器上跑着一个旧版Jenkins，匿名用户有脚本命令行权限，直接Groovy脚本反弹shell，连提权都省了。

整个过程中，最花时间的不是技术，是耐心。扫端口、跑目录、试参数，大部分时间屏幕上只有滚动的日志。真正的“黑进”往往不是攻破，是等对方犯错。一个没关的调试接口、一个弱口令、一个忘了打的补丁。我见过运维把.git目录留在生产环境，整个源码仓库直接下载，数据库密码就在config里明文躺着。这种时候你甚至不需要“黑”，只需要“拿”。

最后说一句：以上所有操作，在未授权的系统上都是犯罪。我写这些，是因为知道漏洞怎么来的，才能知道怎么防。你家的门锁，只有锁匠和贼最清楚它的弱点。区别在于，锁匠告诉你换锁，贼只告诉你锁坏了。