网站后台暴力破解，网站说白了就是后台拿字典撞门。撞开一个弱口令后台，暴力平均只需要四分钟。破解

我见过最离谱的网站一次，是后台某家做跨境电商的中型公司。他们的暴力后台地址是 /admin，密码是破解 admin888。安全日志里显示，网站攻击者只尝试了三次就进去了，后台前后不到十秒。暴力进去之后直接改了收款账户，破解等财务发现时，网站货款已经转走了二十多万。后台老板后来跟我说，暴力他们连个验证码都没设。

这不是孤例。

暴力破解的核心逻辑特别简单——你不可能记住一百万个密码，但脚本可以一秒试一千个。攻击者手里有现成的密码字典，里面装满了从历年数据泄露中收集的真实密码组合，比如 123456、password、qwerty，还有各种带年份和特殊符号的变体。他们不需要猜中你的复杂密码，只需要赌你用了某个常见组合。

赌赢的概率比你想的高。

我做过一个小实验。用一个干净的测试服务器，开放后台登录页，不设任何防护。结果第二天早上，日志里就躺了四千多条登录失败记录。来源IP遍布俄罗斯、巴西、印尼。有意思的是，最早的一批尝试发生在凌晨两点十七分，对方用的字典里居然包含了我故意设置的测试账号 test 和密码 test123——他们连这种默认测试账号都不放过。

后台被爆破了，后果不一定是立刻被偷钱。有些攻击者会先植入一个隐蔽的后门，潜伏几周甚至几个月，观察你的业务节奏。等交易高峰期或者你放松警惕的时候，再动手。他们比你更清楚你的后台什么时候最忙。

防护手段其实也老套，但有效。第一，把后台地址从 /admin 改成一段无意义的随机字符串，比如 /x7k9q2z。这能过滤掉九成以上的扫描流量，因为脚本不会去猜这种路径。第二，强制使用高强度的唯一密码，别让员工拿 Company@2024 这种套路糊弄。第三，登录接口加延迟——每次输错密码强制等待三秒，配合连续失败五次锁账号十五分钟。就这三招，能把暴力破解的成功率降到接近于零。

有人会问，攻击者不会用代理池换IP绕过锁账号吗？会，但成本上来了。他们撞一个后台的脚本成本可能只要几块钱，但要维持几百个代理IP持续撞，就得花几十甚至上百块。如果你的后台价值没那么大，他们撞几下发现费劲，转头就找软柿子捏去了。

说到底，暴力破解是场概率游戏。攻击者赌的是你的懒惰，你赌的是他们没耐心。把门槛抬高一点，他们自然就走了。别做那个用 admin888 的倒霉蛋。