```html

如何攻破网站

去年秋天，我帮一个做独立博客的破网朋友排查服务器异常。他的何攻站访问量不大，却频繁出现CPU跑满。破网登上服务器一看，何攻/tmp目录下塞了三个挖矿脚本，破网authorized_keys里多了一把陌生公钥。何攻攻击者没用什么高深漏洞，破网只是何攻扫到了他图省事留下的测试账户，密码是破网admin123。这事让我意识到，何攻多数网站被攻破，破网原因朴素得让人失望。何攻

攻击的破网第一步永远是信息收集。手动翻看目标站点，何攻robots.txt里可能写着管理员不想公开的路径，比如/backup/或/phpmyadmin/。页面源码注释里偶尔躺着开发人员忘了删的测试账号。再用nmap扫一遍端口，22开着SSH，3306是MySQL，8080跑着Tomcat管理后台。这些信息单独看没什么，拼在一起就是一张进攻地图。

漏洞扫描工具这时候该上场了。Nikto、AWVS、Nuclei，随便挑一个跑一遍。它们会告诉你：这个WordPress插件版本有已知的SQL注入，那个Nginx配置存在路径穿越。别指望工具能直接拿下站点，它的价值在于把攻击面从模糊变得具体。我见过有人拿着扫描报告里的CVE-2021-44228去试所有Java应用，结果真在一个老旧的Solr服务上触发了Log4Shell。运气成分有，但前提是你知道该往哪儿捅。

Web漏洞里，SQL注入和文件上传是两把老钥匙。SQL注入的原理不复杂——用户输入被直接拼进查询语句。假设登录框的SQL是SELECT * FROM users WHERE name='$name' AND pass='$pass'，在用户名里填' OR '1'='1，查询就变成永真式。当然现在PDO预处理普及了，直接注入少见，但二次注入、宽字节注入还在某些老旧系统里活着。文件上传更直接：前端校验用JS，抓包改后缀就行；后端校验只查MIME类型，把shell.php的Content-Type改成image/jpeg就能绕过。上传成功后访问路径，如果服务器没配好解析规则，shell.php.jpg也可能被当作PHP执行。

拿到低权限shell之后，提权是下一个坎。Linux上先跑uname -a看内核版本，再对照exploitdb找对应提权exp。SUID文件是另一个突破口，find / -perm -4000 2>/dev/null列出来的东西里，说不定就有nmap或vim这种能拿来读/etc/shadow的。Windows那边，whoami /priv看令牌权限，SeImpersonatePrivilege开着的话，JuicyPotato直接安排。提权成功意味着你能改/etc/passwd加个UID为0的用户，或者直接dump数据库。

攻破网站的本质是信息不对称的利用。防守方要堵住所有洞，攻击方只需要找到一个没关的窗。

但说这些不是教人使坏。我写这篇文章，是因为太多人把网站安全当成装个WAF就完事。WAF能挡脚本小子，挡不住针对性的逻辑漏洞。真正的防御得从代码层面做起：参数化查询、上传文件重命名并剥离执行权限、最小权限运行Web服务、定期更新依赖。还有，别用admin123。我那位朋友后来把所有测试账户删了，SSH改成密钥登录，又给Nginx加了limit_req限速。折腾了一下午，但再没出过事。

最后说个观察：很多入侵事件里，攻击者留下的后门比原漏洞还粗糙。一个eval($_POST['cmd'])的webshell，文件名就叫1.php，扔在网站根目录。防守方如果连这种都发现不了，那确实该被攻破。安全是持续的过程，不是一次性的配置。你关掉一扇窗，攻击者会去找下一扇。但至少，别让门敞着。