凌晨三点，网站劫持我正盯着后台数据发呆。网站劫持突然，网站劫持一个来自河南郑州的网站劫持IP引起了我的注意——这个访客在十八秒内打开了十七个页面，每个页面停留时间不超过一秒。网站劫持这不正常。网站劫持

我调出访问日志，网站劫持发现所有请求都带着一个奇怪的网站劫持参数：?from=10086。更诡异的网站劫持是，这些请求的网站劫持User-Agent（浏览器标识）全是清一色的"Python/3.8"，连伪装都懒得做。网站劫持有人正在用脚本扫描我的网站劫持网站——不是攻击，而是网站劫持在找漏洞。准确地说，网站劫持是网站劫持在找可以注入跳转代码的入口。

网站劫持这事儿，我见过太多种玩法。最粗暴的是直接篡改DNS解析，把你的域名指向别人的服务器。去年有个做跨境电商的朋友，一夜之间流量掉了八成，客户全被导到了一个仿冒站上——那个仿站做得比他自己的还精致，连客服话术都抄了全套。最阴险的是HTTP劫持，运营商在传输链路上插一脚，往你的网页里塞广告脚本。你辛辛苦苦写的文章，读者看到的却是在评论区飘浮的"澳门赌场上线啦"。

但今天这个扫描器，路子不太一样。它不碰数据库，不碰后台，专挑我写的那些静态页面下手——特别是带搜索功能的老旧页面。我顺着日志往下查，发现它先访问了/search.php?q=test，然后立刻跳到了/search.php?q=test%27%22。这是SQL注入的标准试探动作。可我的搜索功能用的是预编译语句，理论上不该有漏洞。

问题出在别处。我翻到三天前的部署记录，那天我为了图省事，用了个第三方开发的模板引擎。开发文档里写着"自动过滤危险字符"，但我从没验证过。我打开那个模板的源码，翻到渲染函数那一段——好家伙，过滤逻辑只对GET请求生效，POST请求根本不管。而我的搜索表单，恰恰用的就是POST方法。这意味着黑客只要构造一个特殊的POST请求，就能往我的页面里注入一段JavaScript。

那段代码会做什么？最常见的是挂马，让访客的电脑沦为挖矿肉鸡。更狠的是做"中间人"，在用户登录时截取密码。但最让我后背发凉的，是前几天看到的一个案例——某个小网站被植入了脚本，专门在午夜十二点整，把页面上所有"联系我们"的电话号码偷偷替换成诈骗号码。整整两周，没人发现，直到有位老客户打电话来投诉："你们网站留的号码怎么是空号？"

我赶紧把那个第三方模板卸了，换回自己写的原生代码。又在服务器上加了条防火墙规则，所有含"