有漏洞的网站

老周的有漏公司网站被黑了，就在上周五下午三点十七分。网站我之所以记得这么清楚，有漏是网站因为他当时正端着咖啡跟我炫耀新买的机械键盘，然后屏幕就黑了——不是有漏蓝屏，是网站整页变成纯黑色，中间浮着一行白色的有漏大字：“你们的SQL注入漏洞该补补了。”

老周嘴里的网站咖啡差点喷出来。我凑过去看了一眼，有漏网址栏清清楚楚写着他们公司的网站域名，不是有漏钓鱼站。黑客连个勒索信都没留，网站纯粹是有漏炫技，或者更准确地说，网站是有漏在提醒——你们这个洞，我闭着眼睛都能打进去。

这事不新鲜。我见过太多小公司把网站当做一个静态门面，扔在虚拟主机上三年不管，后台密码还是“admin123”。他们的逻辑是：我们又不存用户数据，谁闲得没事黑个展示页？可问题恰恰出在这——越是觉得“没人稀罕”的网站，防护越像纸糊的。黑客拿你练手，成本低到可以忽略不计，扫个端口就能发现一堆洞。

老周那个网站我后来看了下源码，简直是个筛子。搜索框直接拼SQL语句，连参数化查询都没做。上传头像的接口不校验文件类型，传个PHP文件上去就能拿到webshell。更离谱的是，网站根目录下还躺着一个备份压缩包，名字就叫“backup_2021.zip”，密码是“123456”。我打开一看，里面是完整的数据库导出文件，客户名单、订单记录、甚至员工身份证号，全裸奔。

我跟老周说，你这网站不是被黑客攻破的，是被你自己扔出去的。他苦着脸问怎么补，我说先别急着补，你想想这网站是谁做的。他挠挠头，说是三年前一个外包团队，做完就解散了，连源码都没留全。得，这下连修都不知道从哪下手。

其实很多小公司都栽在这上面。他们觉得网站是个一次性的东西，上线就完事，却忘了它是个活物——只要挂在公网上，每分每秒都有人拿扫描器在戳。你不管它，它就慢慢烂掉，直到某个下午，被一个无聊的脚本小子顺手捅穿。

老周后来花了八千块找了个安全公司做渗透测试，报告出来四十多页，高危漏洞十几个。他一边看一边骂，骂外包团队不靠谱，骂自己当初贪便宜。我劝他别全怪别人，你自己连个定期更新都没有，后台密码三年没换过，这锅有一半得自己背。

网站这东西，跟房子一样，盖好了得住，得住就得维护。你不可能把房子扔在那儿十年不管，还指望它不漏雨。老周现在学乖了，每月让安全公司扫一次，后台密码换成了密码管理器生成的随机串，还加了双因子认证。他说这八千块花得值，至少比被黑之后赔客户钱便宜多了。

我把这事写下来，不是想吓唬谁。但如果你也有个网站，三年没动过后台，密码还是生日或者“qwerty”，那建议你今晚上去改改。别等到哪天屏幕上出现一行字，才想起来自己家的门锁早就锈透了。