凌晨三点，黑客一个程序员被电话吵醒。攻击他的网站网站挂了，数据库被清空，黑客首页上留下一行字：“你的攻击安全措施很可爱。”这不是网站电影桥段，是黑客每天都在发生的真实场景。黑客攻击网站，攻击往往不是网站靠什么高深莫测的技术，而是黑客像溜门撬锁一样——先找没锁好的窗户。

最常见的攻击入口是“SQL注入”。听起来吓人，网站原理却简单得像在答题卡上偷改答案。黑客网站有个登录框，攻击程序员本以为输入“用户名”和“密码”就行，网站但黑客在输入框里塞进一段特殊字符，比如`' OR 1=1 --`。数据库一看，哟，条件永远为真，直接放行。就这么着，黑客用一行字骗过了整个验证系统。我见过一个电商站，后台订单数据全被拖走，对方只用了三个引号。

另一种套路是“XSS攻击”，也就是跨站脚本。黑客往评论区贴一段JavaScript，其他用户一打开页面，脚本就在他们浏览器里跑起来，偷Cookie、篡改页面、甚至假装成你发帖子。2019年某社交平台爆出过这事，攻击者靠一个表情符号的编码漏洞，让几万用户的私信被转发。你说气不气？人家连密码都没碰，就靠浏览器自己“开门”。

还有更懒的——直接撞库。黑客从别的网站买来泄露的账号密码，用脚本批量往目标网站试。很多人在所有平台都用同一个密码，撞开一个就等于撞开全部。我认识一个小站长，服务器日志里显示某天凌晨有4000次登录尝试，全是同一套密码表。他后来跟我说，最讽刺的是，他自己公司的内部系统密码也是那个。

高级点的会玩“零日漏洞”——厂商自己都不知道的漏洞。这需要真本事，通常黑市上卖几万到几十万美元一个。但大多数黑客没这预算，他们更愿意用现成的扫描工具，像开挂一样扫全网IP，找没打补丁的旧版本系统。2021年某物流公司被入侵，就是因为用了三年前的Apache版本，补丁早就发布了，就是没人更新。

攻击完成后，黑客往往不急着搞破坏。先留后门——改几行代码，或者塞一个隐藏的管理员账号，下次想进来随时能进。然后才考虑变现：勒索比特币、卖数据、或者把你的服务器当肉鸡去攻击别人。有个案例特别有意思，某小诊所被黑，对方只勒索500美元，因为知道诊所穷。黑客也讲“市场细分”，真的。

防御其实没那么玄乎。打补丁、改强密码、给数据库加参数化查询——这些基础动作能挡住90%的攻击。但现实是，很多程序员赶工期，上线前只测功能不测安全。有个统计说，平均每个网站要等200多天才修复已知漏洞。黑客不傻，他们专挑这种“慢郎中”下手。

说到底，黑客攻击网站的本质，不是代码对代码的战争，而是懒惰对细心的博弈。你多花半小时锁好门，他们就得去翻下一家窗户。可惜的是，太多人连这半小时都懒得花。