网站攻击教程

2021年，网站某地一家小型电商平台的攻击运维人员发现，后台订单数据被批量导出，教程数据库里多了一个从没见过的网站管理员账号。攻击者没有用什么高深漏洞，攻击只是教程猜中了后台登录密码——admin123。这件事说明一个很朴素的网站道理：大多数网站被攻破，不是攻击因为攻击者多厉害，而是教程防守方留了太多没关的门。

下面聊几种常见的网站攻击路径。写这些不是攻击教人干坏事，而是教程让你知道攻击者从哪儿进来，你才好把那个口子堵上。网站

弱口令与撞库

攻击者手里通常有一份从别处泄露的攻击账号密码表。拿这份表去目标网站挨个试，教程这就是撞库。很多人所有平台用同一个密码，A站泄露，B站就跟着遭殃。工具方面，Hydra、Burp Suite的Intruder模块都能做批量尝试。防守手段很直接：限制登录频率、强制复杂密码、开启双因素验证。听起来老生常谈，但每年被撞库干掉的站点依然一抓一大把。

SQL注入

这是最经典的Web攻击之一。原理不复杂：网站把用户输入直接拼进SQL语句里执行。比如一个登录查询写成SELECT * FROM users WHERE name='输入' AND pass='输入'，攻击者在输入框里填' OR 1=1 --，整条语句的逻辑就被改写了，直接绕过验证。

手工测试时，在参数后面加单引号'，看页面是否报数据库错误，这是最基本的探测手法。工具的话，sqlmap能自动化完成检测和利用。防注入的办法是参数化查询，别把用户输入当SQL代码拼。PHP里用PDO预处理，Java里用PreparedStatement，都是成熟方案。

XSS跨站脚本

攻击者往页面里注入JavaScript代码，其他用户浏览时这段代码就在他们浏览器里执行了。反射型XSS需要诱骗受害者点击特制链接，存储型XSS更狠——恶意代码直接存进数据库，每个访问该页面的用户都会中招。2005年MySpace的Samy蠕虫就是存储型XSS的经典案例，一天之内感染了上百万用户。

防御的核心是输出编码。用户提交的内容在渲染到HTML、JS、CSS不同上下文时，要用对应的编码方式处理。别指望黑名单过滤<script>，绕过手法太多了。

文件上传漏洞

很多网站允许用户上传头像、附件。如果后端不检查文件类型，攻击者上传一个.php文件，再通过URL访问它，就能在服务器上执行任意代码。我见过一个案例：某论坛的头像上传功能只在前端用JS判断了扩展名，抓包改一下后缀，直接拿到webshell。防护要点是白名单校验扩展名、重命名文件、把上传目录设成不可执行。

DDoS

前面说的都是获取权限，DDoS不偷数据，就是让你的网站打不开。原理是用大量请求淹没服务器。SYN Flood、HTTP Flood、DNS放大攻击，手段很多。2023年Cloudflare拦截过一次峰值每秒7100万请求的DDoS攻击。中小站点遇到这个基本没辙，只能靠CDN和云防护清洗流量。

说点实际的

把上面这些串起来看，攻击链条通常是：信息收集→找入口→提权→维持访问→清除痕迹。防守方不需要在每个环节都做到完美，但关键节点不能有短板。一个用了参数化查询但后台密码是123456的站点，照样保不住。

定期做渗透测试，用Nmap扫端口、Nikto查常见漏洞、OWASP ZAP跑一遍扫描，能发现大部分低级问题。别等出事再补，那时候数据已经在别人硬盘里了。