凌晨两点十七分，何黑我盯着屏幕上那行“403 Forbidden”，进网手指在键盘上悬了十秒，站后然后敲下了第三组SQL注入语句。何黑这不是进网电影里那种黑客，没有炫酷的站后3D界面，没有飞速滚动的何黑绿色代码，有的进网只是枯燥的报错日志和不断弹出的验证码。

黑进网站后台，站后说白了就是何黑找到那扇没锁的窗户。大多数站长以为装个防火墙就万事大吉，进网但真正脆弱的站后往往是后台登录页面——那个每天被扫描器问候上百次的入口。我见过用“admin/admin”当账号密码的何黑政府网站，也见过把后台地址藏在robots.txt里的进网“聪明人”，这就像把钥匙放在门口垫子底下，站后还贴个标签写着“钥匙在这”。

最常用的手法其实特无聊：暴力猜解。别笑，我去年测试某电商平台，用弱口令字典跑了不到二十分钟，就撞开了他们供应商后台——密码是“123456”。那一刻我甚至有点同情那个管理员，他大概觉得没人会无聊到一个个试密码。可攻击者最不缺的就是耐心，脚本能每秒尝试几百个组合，而你的人类大脑连自己生日都记不住。

SQL注入算技术活，但也看运气。找输入框，试探性输入一个单引号，看页面报不报错。报错了就说明有戏，接着构造闭合语句，用union select猜字段数，一步步把数据库里的用户名和密码哈希拖出来。整个过程像开保险箱，得听着齿轮转动的声音慢慢调。有个细节：很多新手喜欢直接注入“or 1=1”，这招早被过滤了，你得学会用时间盲注——让数据库睡五秒再响应，用延迟来传递信息，一比特一比特地抠数据。

XSS攻击则更阴险。它不直接攻后台，而是偷管理员cookie。我在某个论坛的私信功能里植入了一段脚本，只要管理员点开消息，他的会话令牌就会传到我的服务器上。第二天我登录后台时，发现他昨晚还在删垃圾广告，完全没察觉自己已经被“借道”了。这种攻击最可怕的地方在于——你永远不知道哪次点击会让你交出钥匙。

但说句掏心窝子的话，真正的高手从来不硬碰硬。社会工程学才是终极武器。我认识一个白帽黑客，他黑进某银行后台的方式是把电话打到IT部门，冒充新来的安全审计员，说需要“紧急测试权限”。对方居然真的给他开了临时账号——人类对权威的服从性，比任何代码漏洞都好利用。这招我试过，成功率出奇地高，因为没人愿意对“总部领导”多问两句。

写这些不是教你干坏事。事实上，我每次测试都会签授权协议，事后提交漏洞报告。但你知道吗？国内超过六成中小网站的后台，防护水平还停留在十年前。我上周随手测了个本地教育机构的官网，后台登录页连验证码都没有，更别说双因素认证了。这种站点被攻破只是时间问题，跟技术高低无关，纯粹是没人把它当回事。

所以，如果你真想知道怎么黑进后台，先学会怎么保护自己的后台。把密码改成二十位随机字符，开启两步验证，后台地址别用默认路径，定期看访问日志——这些事花不了半小时，但能挡住九成攻击者。剩下的那一成，靠的是你永远别把“不可能”当回事。毕竟，再坚固的城堡，也怕有人用最笨的方法，每天撬一块砖。