去年冬天，破解一个做外贸的网站朋友半夜给我打电话，说他的后台独立站后台被人改了支付接口，客户付的账号钱全进了别人账户。我让他把服务器日志导出来，密码翻了不到十分钟就找到了入口——一个三年前离职员工留下的破解测试账号，密码是网站admin123。这事听起来离谱，后台但类似的账号情况我每年至少碰到五六次。

很多人以为破解网站后台是密码什么高深的技术活，其实大部分真实案例里，破解攻击者根本没用什么零日漏洞。网站他们做的后台就是翻找、猜测、账号撞库。密码你打开一个网站的后台登录页，先试admin/admin，不行就试admin/123456，再不行试网站域名加个2024。十次里有一次能进去，对攻击者来说就是赚的。

我见过最夸张的一个案例，某地一家小型电商平台，后台密码是公司创始人的手机号。这个手机号就挂在网站“联系我们”页面上。攻击者甚至不需要任何工具，打开页面看一眼，输进去就进去了。这不是技术问题，是懒。

那技术手段到底怎么操作的？说一个最基础的——SQL注入。假设登录页的查询语句是 SELECT * FROM users WHERE username='$user' AND password='$pass'，攻击者在用户名框里输入 ' OR '1'='1' --，整条语句的逻辑就被改写了，直接绕过密码验证。这种漏洞在2024年的今天依然存在，尤其在一些外包做的、常年不维护的政企网站上。

另一种常见的是暴力破解。用Burp Suite或者Hydra这类工具，挂上字典文件，每秒尝试几百上千次密码。如果网站没有登录次数限制，一个六位纯数字密码在几分钟内就能跑完。我做过测试，某县级医院的后台系统，密码是八个8，Hydra跑了不到两秒就出来了。

还有更隐蔽的——Cookie伪造。有些网站登录成功后，只在Cookie里存一个 isAdmin=0 这样的字段。攻击者用浏览器开发者工具把它改成 isAdmin=1，刷新页面，直接就是管理员权限。这种设计思路放在今天看简直不可思议，但确实还有人在这么写代码。

说这些不是为了教人搞破坏。我想表达的是，网站后台的安全防线往往不是被攻破的，而是自己塌掉的。弱密码、默认账号、未修复的已知漏洞、过于信任前端验证——每一个都是送分题。

如果你在管一个网站，现在就可以做几件事：把后台登录地址从 /admin 改成随机字符串，加上登录失败锁定机制，强制所有账号使用十二位以上混合密码，关掉数据库的远程访问权限。这些操作花不了半小时，但能挡掉九成以上的自动化扫描和脚本小子。

那个外贸朋友后来把后台迁到了内网，加了一层VPN。他说了一句话我印象很深：“以前觉得黑客离我很远，现在才知道，他们就在门口挨个拉门把手。”这话糙，但准确。