2007 年 4 月 6 日，PHPWind（PW）論壇官方曝光 5.x 全版本通殺漏洞（require/passport_client.php 過濾不嚴導致 SQL 注入），攻擊者可任意修改密碼獲取管理權限。漏洞利用代碼與工具迅速在黑客論壇擴散，引發大規模攻擊潮。
攻擊影響
- 數萬使用 PW 的論壇在數小時內淪陷：被掛馬、勒索、刪庫、關站。
- 百度搜尋前幾十頁 PW 論壇幾乎全關閉。
- 站長損失慘重：數據恢復成本高、用戶信任崩塌、流量暴跌。
典型受害案例
- 技術論壇站長陳先生：數據被清空，勒索「維護費」，半年無備份，花高價數據恢復公司救回。
- 日 IP 萬級站長王先生：發現被植木馬，緊急清理並發布查毒公告，用戶粘性受損。
- 站長 Sun：數據全刪，三天僅睡三小時恢復，人氣流量大幅流失。
官方響應
- 兩小時內發布修補補丁、密碼恢復工具、遠程更新公告。
- 提供免費故障排查與善後修復服務。
- 向公安機關報案，追究攻擊者法律責任。
- 漏洞成因：
passport_client.php 參數過濾缺陷導致 SQL 注入，攻擊者可重置任意用戶密碼。
教訓與建議
- 及時修補：訂閱官方安全公告，建立應急修補 SLA（建議 24 小時內）。
- 定期備份：每日增量 + 每週全量，異地離線存儲，定期演練恢復。
- 最小權限：資料庫帳號分離，Web 應用帳號僅具必要增刪改查權限。
- WAF/防火牆：部署 Web 應用防火牆攔截注入攻擊。
- 安全意識：免費開源碼不代表無需維護，站長須具備基本資安運營能力。
此次事件為國內個人站長圈敲響警鐘：安全非產品，而是持續運營過程。