```html

黑客攻破网站

凌晨三点十七分，黑客某地一家小型电商网站的攻破数据库里多了一条管理员记录。用户名是网站 backup_2024，密码哈希值对应的黑客明文，后来被证实是攻破 qwerty123。这条记录不是网站运维人员加的。网站首页在接下来的黑客四十分钟里，被替换成一张像素风的攻破骷髅头图片，底部一行小字：“你们的网站备份脚本还在用默认密码。”

这不是黑客电影桥段。我见过太多类似案例，攻破攻破一个网站往往不需要什么零日漏洞，网站甚至不需要写一行代码。黑客运维人员图省事留下的攻破一个测试接口，开发阶段忘了删的网站 .git 目录，或者某个第三方插件三年没更新——这些才是真正的入口。黑客做的，只是顺着这些缝隙往里推一把。

从一条报错信息开始

去年秋天，我旁观了一次针对本地一家烘焙店官网的渗透测试。目标网站用的是某开源 CMS，版本号藏在页脚版权信息里。测试者先访问了一个不存在的页面，服务器返回的报错信息里带着完整路径：/var/www/html/bakery_v2/。他把路径里的 bakery_v2 换成 bakery_v1，页面居然正常加载了。旧版后台的登录框赫然在目，验证码图片是静态的，URL 里直接写着 captcha.php?code=1234。

“这跟把钥匙插在门上有什么区别？”他笑着问我。接下来十分钟，他用 Burp Suite 抓包，把登录请求里的 username 参数改成 admin' or '1'='1，密码随便填。服务器返回了 200 OK，后台管理面板弹了出来。整个过程没有用到任何高级工具，浏览器加一个代理插件就够了。

漏洞是人的习惯

很多人以为黑客攻击是技术对抗，其实更多时候是心理博弈。我整理过一批被攻破的网站样本，超过六成的入口点与“临时方案”有关：临时开的调试端口、临时设的弱口令、临时上传的测试文件。这些“临时”最后都变成了永久。

有个做外贸的朋友，网站被挂马两个月才发现。我帮他查日志，发现攻击者最早是通过一个叫 upload_test.php 的文件进来的。那个文件是他两年前让实习生写的，功能是上传图片并显示路径，没有任何文件类型校验。实习生离职后，文件一直留在服务器上。攻击者上传了一个 .php 文件，内容只有一行：<?php system($_GET['cmd']); ?>。之后的事情就简单了，整台服务器变成了攻击者的跳板。

这件事让我印象很深。不是漏洞有多精妙，而是它太普通了。普通到每天都有成千上万个类似的 upload_test.php 躺在服务器里，等着被人发现。

攻破之后

网站被攻破的那一刻，攻击者通常不会立刻搞破坏。他们会先留后门，再横向移动。我见过一个案例，攻击者拿到 WebShell 后，花了整整一周时间只做一件事：翻找数据库配置文件。找到之后，他导出了所有用户表，包括邮箱、手机号、密码哈希。然后他给管理员留了一封信，存在 /tmp/readme.txt 里，内容是：“你的用户数据我复制了一份。给我 0.5 个比特币，我删掉。否则下周我把它挂到暗网。”

管理员没付钱。第二周，部分用户数据出现在一个论坛上。第三周，网站收到大量撞库登录请求。第四周，网站关停。

这个故事里没有天才黑客，也没有史诗级漏洞。只有一个没改默认密码的数据库账号，和一个没设访问限制的备份目录。攻击者只是比管理员更早发现了它们。

写在后头

如果你现在去翻自己网站的目录，大概率能找到几个不该存在的文件。可能是 .DS_Store，可能是 phpinfo.php，也可能是某个编辑器自动生成的 index.php.bak。它们安安静静地待在那里，像没关紧的窗户。黑客不需要砸墙，推开窗户就行。

我写这些不是教人攻击。恰恰相反，我想说的是，防守比进攻容易得多。删掉多余文件，改掉默认口令，关掉不用的端口——这三件事能挡住八成以上的低级攻击。剩下的两成，才需要谈防火墙、WAF 和入侵检测。

但大多数人连第一件事都懒得做。所以每天凌晨，总有人能轻松走进别人的网站，像走进一间没锁门的屋子。