как же ломают сайты

ну во первых сайт - это тот же компьютер в
сети, который также физически где-то
находится.
Твой компьютер тоже может им быть, если
установить на него HTTP-сервак (программа
такая), и зарегистрировать доменное имя (это
условие необязательно, т.к. в случае
отсутствия доменного имени на сайт можно
будет заходить по внешнему IP).
Вот ты, и получил почти весь ответ на вопрос.
Но количество и разнообразие ПО на сайтах
гораздо больше, отсюда и вероятности
наличия "дыр" тоже больше. На этом,
наверно, про взлом через баги, допущенные
производителями ПО, я закончу и расскажу
про баги, которые допускают сами
пользователи, при этом становясь жертвой
взломов.
Чтобы стало ясно, сначала скажу, что любое
ПО напрямую взаимодействует с
пользователем, при этом зачастую позволяя
создавать что-то своё. Это самоё "своё"
пользователи как раз-то и не могут создать
по-человечески, без дыр. Здесь много
моментов, но я остановлюсь на самом часто
применяемом.
HTTP-серверы, в зависимости от их
возможностей, позволяют использовать
на сайтах специальные скрипты: CGI (они
могут быть написаны почти на всех языках, в
зависимости от реализации их поддержки
сервером), PERL, PHP, ASP и мн.др. Эти
скрипты коряво пишут пользователи, а
хакеры, примерно предполагая что в них
написано (т.к. обычным скачиванием их
просмотреть нельзя, не имея прав), посылают
этим скриптам обычные запросы, слегка
изменённые для тех или иных целей. Вот об
этом-то и пишет куча статей на портале,
поэтому я тебе рассказывать о подробностях
не буду.
Ну и последний способ, который называется
"грубая сила" (brute force). Это перебор
паролей к какому-либо сервису,
предоставляющему пользователю
определённый доступ. Например, на
компьютере установлен FTP-сервер, который
держится только по надобности
администратора. FTP-сервер предоставляет
доступ к файлам на компьютере, пароль для
входа знает только админ. Ты берёшь какой-
либо брутфорсер FTP с большим словарём
(списком) паролей, и он начинает
последовательно, один за другим, подбирать
пароль к FTP.