凌晨两点十七分，破解我盯着屏幕上那行“HTTP/1.1 200 OK”，网站指尖在键盘上敲下第三个字典组合。后台目标是破解一个本地搭建的测试站点，后台地址藏在robots.txt的网站注释里，管理员账号是后台admin，密码却像一堵涂了油的破解墙。

暴力破解是网站个体力活。Hydra带着rockyou.txt的后台密码库，每秒尝试二十次，破解进度条像蜗牛爬过青石板。网站我切了杯速溶咖啡，后台看着那些“password123”“qwerty”在屏幕上滚动，破解心里忽然有点同情那个虚拟的网站管理员——人类对密码的想象力，贫瘠得让人发笑。后台

真正让我警觉的，是响应时间的变化。第1834次尝试后，服务器开始延迟0.3秒。不是网络抖动，是WAF在悄悄拦截。我立刻切了代理池，把请求间隔拉到1.5秒，伪装成正常浏览器的指纹。攻防从来不是单向的，你在试密码，防火墙在试你。

凌晨三点，字典库跑到一半，一无所获。我换了个思路——查站点的备份文件。直接在URL后加/backup.zip，居然返回了200。下载解压，config.php里躺着一段base64编码的字符串。解码后是“P@ssw0rd!2023”，带感叹号，带年份，典型的“以为很聪明”的密码。

后台登录成功那一刻，界面是深蓝色的管理面板，左侧菜单挂着“文章管理”“用户权限”“插件中心”。我点开“系统日志”，看到管理员昨天凌晨还在修改页面标题。这人有强迫症，每次编辑完都要清空浏览器缓存。

但真正的漏洞不在密码，在文件上传。后台的“主题编辑器”允许直接修改PHP文件，不需要额外验证。我上传了一个伪装成图片的马，代码嵌在EXIF信息里。服务器没有检查图片内容，只校验了扩展名和MIME类型。这就是典型的“信任一切”和“信任一切”的叠加。

拿到webshell后，我反而冷静下来。这台测试机没有真实数据，但如果是生产环境呢？网站管理员用“P@ssw0rd!2023”这种密码，说明安全培训形同虚设。更讽刺的是，后台登录页有验证码，但验证码逻辑写在JavaScript里——前端校验，后端根本不验证。我绕过了它，就像绕过一把挂在纸门上的锁。

整个过程用了47分钟。不是技术多高明，而是目标太松懈。现实中的网站漏洞，七成是配置错误，两成是弱口令，剩下的一成才是真正的零日。我关掉虚拟机，把截图存进加密文件夹。这片子不能发出来，但可以写下来——提醒那些觉得自己“没那么重要”的小站长，你们的后台，可能正被某个凌晨失眠的闲人用字典碾过。

密码是防线，但防线后面的人，往往才是最薄弱的环节。