駭客駭入網站主要透過程式漏洞、管理疏失、憑證竊取、以及供應鏈破口等管道取得未授權的存取權限。

程式與資料庫漏洞攻擊

• SQL 注入攻擊 (SQL Injection)：在輸入框植入惡意資料庫指令。
• 跨網站指令碼 (XSS)：在網頁注入惡意程式碼以瀏覽器執行。
• 跨網站請求偽造 (CSRF)：利用使用者的登入狀態發送冒名請求。
• 遠端程式碼執行 (RCE)：直接操作伺服器執行特定惡意指令。 [1, 2]

身分驗證與憑證破解

• 暴力破解攻擊 (Brute Force)：使用自動化工具重複猜測管理員密碼。
• 憑證填充攻擊 (Credential Stuffing)：利用外洩的外站密碼嘗試登入。
• 社交工程 (Social Engineering)：以釣魚信件騙取管理員的登入憑證。 [3, 4]

系統與供應鏈漏洞

• 未更新的元件漏洞：攻擊作業系統、網頁伺服器或外掛套件舊弱點。
• 第三方供應鏈攻擊：從網站使用的第三方金流或廣告套件入侵。
• 水坑式攻擊 (Watering Hole)：在特定目標常造訪的信任網站植入惡意程式。 [5, 6]

組態設定與環境缺陷

• 未加密傳輸截獲：側錄未安裝 SSL 憑證網站的明文傳輸資料。
• 目錄遍歷 (Directory Traversal)：突破權限直接瀏覽伺服器的內部敏感檔案。
• 資訊洩漏缺陷：透過 Google Hacking 等公開搜尋指令找出網站隱藏的備份檔。 [7]

如果您正在為特定網站評估資安弱點，可以告訴我該網站採用的內容管理系統（如 WordPress、Laravel）或資料庫類型，我能為您提供更精準的防禦補強建議。

[1] https://ithelp.ithome.com.tw