网站渗透入侵全部教程

去年冬天，网站我帮一家小电商做安全评估。渗透他们的入侵后台登录页连验证码都没有，管理员密码是全部“admin123”。我用Burp Suite抓包改了个参数，教程十分钟就进了后台。网站这不是渗透电影里的黑客桥段，就是入侵每天都在发生的现实。

网站渗透的全部核心就一句话：找到别人没想到的入口。入口通常藏在三个地方——用户输入、教程服务器配置、网站代码逻辑。渗透先说用户输入。入侵登录框、全部搜索框、教程URL参数，任何你能打字的地方都是潜在攻击面。SQL注入最经典，在搜索框输入 ' OR 1=1 --，如果后端没过滤，数据库就直接把全部数据吐出来。我见过一个政府网站，新闻页面的id参数是 ?id=123，改成 ?id=123 AND 1=2 页面就报错，说明存在注入。用sqlmap跑一下，半小时拿到管理员哈希。

XSS是另一个重灾区。评论区输入 <script>alert(1)</script>，如果弹窗了，说明可以盗取cookie。去年某论坛被挂马，就是有人利用存储型XSS，把恶意脚本塞进帖子，每个看帖的人都被重定向到博彩网站。修复方法很简单：输出时用htmlspecialchars转义。但很多老系统就是不做。

文件上传漏洞更直接。有的网站只检查Content-Type，你把php文件改成jpg后缀，抓包再把Content-Type改回application/x-php，服务器照单全收。我测试过一个CMS，上传头像的地方允许上传.htaccess文件，直接覆盖解析规则，然后传个shell.php，整台服务器就归你了。防御措施：白名单校验后缀，重命名文件，把上传目录设成不可执行。

服务器配置问题往往被忽略。目录遍历：访问 /../../etc/passwd，如果返回root用户信息，说明路径没做限制。还有默认口令，Tomcat的管理页面默认是tomcat/tomcat，Weblogic默认weblogic/weblogic。我扫过一批IP段，至少5%的设备还在用出厂密码。Redis未授权访问也是，直接连6379端口，写个SSH公钥到authorized_keys，就能登录服务器。

代码逻辑漏洞最考验耐心。比如密码重置功能，有的网站把验证码返回在响应包里，或者重置链接的token是base64编码的用户名。我遇到过一个案例：重置密码时，前端把用户ID放在隐藏字段里，改成别人的ID就能重置任意账户。还有越权，普通用户把URL里的 /user/123 改成 /user/124，就能看到别人的订单。这种漏洞扫描器扫不出来，得手动测。

工具方面，Burp Suite社区版免费，够用了。Nmap扫端口，dirsearch扫目录，sqlmap测注入。但别依赖自动化，我见过扫描器报了一堆误报，真正的手动测试才能发现逻辑漏洞。比如有个网站，登录失败三次会锁定账户，但锁定的是用户名而不是IP，攻击者可以拿一个字典轮询，总能试出弱密码。

最后说防御。输入验证、参数化查询、最小权限原则、定期更新补丁。听起来老生常谈，但90%的入侵就靠这些基础措施就能挡住。我见过一个运维，把phpMyAdmin放在公网，还用的是root空密码，数据库里存着十万用户信息。这不是技术问题，是态度问题。

渗透测试的边界是法律。没授权就是犯罪。我所有的测试都有书面授权书，测试范围、时间、IP都写得清清楚楚。别觉得“我只是看看”，刑法第285条等着你。