上个月底，黑客一个做独立游戏的软件入侵软件朋友半夜给我发消息，说他的网站官网被挂了马。首页看着正常，黑客但搜索引擎快照里夹了一堆菠菜链接。软件入侵软件他查了两天日志，网站最后发现是黑客某个第三方统计插件被入侵，攻击者通过插件后门拿到了服务器权限。软件入侵软件这事不算大，网站但挺典型——黑客盯上的黑客往往不是你的主站，而是软件入侵软件你随手塞进去的那些小玩意儿。

软件网站被入侵，网站入口通常比想象中脏。黑客很多站长觉得只要主程序没漏洞就万事大吉，软件入侵软件可实际上，网站一个过期的WordPress插件、一个没改默认密码的phpMyAdmin、甚至一个允许上传的客服头像功能，都能变成跳板。我见过最离谱的案例，攻击者通过一个下载页的“用户反馈”表单，注入了一段JavaScript，专门偷取后台登录Cookie。整个过程不需要任何高级漏洞，就是表单过滤没做好。

SQL注入依然是最常见的突破口。去年有个开源CMS被曝出漏洞，搜索框里的参数没做预处理，直接拼进查询语句。攻击者构造一个 ' OR 1=1 -- 就能拖库。更麻烦的是，很多软件网站会把用户提交的软件介绍、评论直接存进数据库，如果没有转义，存储型XSS就跟着来了。你打开后台审核评论，恶意脚本就在你浏览器里执行，悄悄把你的管理员会话发给攻击者。这种攻击隐蔽性很强，因为网站前台看起来一切正常。

文件上传功能是另一个重灾区。有些软件站允许开发者上传截图或压缩包，如果只检查了MIME类型，攻击者把 .php 文件改成 .jpg 再伪造Content-Type，就能绕过。上传成功后，他们访问那个“图片”路径，服务器直接解析执行。我曾在一次应急响应里看到，攻击者上传了一个只有三行代码的webshell，然后通过它下载了完整的数据库备份。整个过程不到五分钟。

第三方组件的问题更让人头疼。很多软件网站为了快速上线，会集成统计代码、广告联盟、客服系统、CDN加速。这些外部脚本一旦被黑，你的网站就成了帮凶。2018年那次著名的Magecart攻击，就是黑客入侵了一个第三方客服插件，然后在几十万个电商网站上注入信用卡窃取代码。软件站虽然不直接收信用卡，但用户下载的安装包里如果被植入后门，影响面更大。你想想，用户从你这里下载的软件，装完发现电脑被挖矿，这口碑就彻底崩了。

防御这事，没有银弹。但有几个动作能挡住大部分低级攻击：把PHP版本升到最新，关掉没用的模块；数据库账号别用root，权限给到最小；上传目录禁止执行脚本，用 .htaccess 或Nginx配置就能搞定；后台登录加个二次验证，哪怕只是手机验证码，也能让撞库攻击失效。至于第三方组件，能自己托管就自己托管，别直接引外链。定期用 npm audit 或 composer audit 扫一遍依赖，有高危漏洞赶紧修。

说到底，软件网站的安全是个持续活儿。攻击者每天都在扫描全网，找的就是那个忘了打补丁的站点。你不需要比所有网站都安全，只需要比隔壁那个用着三年前插件的站更难啃就行。