我花了三天时间才找到那个后台入口。找网站后不是找网站后技术难题——对方用的是开源CMS，漏洞早被公布过——而是找网站后我压根没想到入口会藏在一张产品图片的EXIF信息里。

那天下午，找网站后客户急得团团转，找网站后说官网被人篡改了，找网站后整页都是找网站后乱码。我打开源代码一看，找网站后好家伙，找网站后footer里被塞了一行加密字符串。找网站后解码后是找网站后一个IP地址，端口8080。找网站后我试着访问，找网站后服务器直接拒绝连接。找网站后换了几种常见路径，找网站后统统404。

后来我注意到，网站首页那张“团队合影”的照片属性里，拍摄时间显示为2023年11月，而其他图片都是2022年。点开详情，GPS坐标指向本地一家网吧。我顺着坐标摸过去，发现那网吧的公共电脑上还留着浏览器历史记录，里面有个奇怪的路径：/admin?debug=1&lang=zh。用这个路径访问，后台登录框终于弹出来了。

密码没费太多劲——管理员用的是“admin123”，连大小写都没改。进去之后，我看到了篡改页面的木马文件，就藏在主题模板的404模板里。那行加密字符串就是通过这个文件注入的。

这事儿让我想起更早的一次。一个做外贸的朋友，网站被人挂了一堆赌博链接，问我怎么清理。我远程一看，后台路径是/wp-admin，密码是“password”。他惊讶地说：“我以为后台地址越隐蔽越安全，所以把登录页改成了/login，但没想到还有另一个入口。”

他说的“另一个入口”是XML-RPC接口。WordPress默认开启这个功能，专门给手机APP用的。攻击者根本不需要登录页面，直接通过这个接口暴力破解密码就行。他改后台地址的做法，等于给前门加了把锁，但后门一直敞着。

找后台这件事，本质上是在跟开发者的习惯博弈。多数人会把后台放在/admin、/manage、/system这些约定俗成的路径下，图省事。稍微有点安全意识的，会改成随机字符串，但往往忘了处理那些自动生成的备份文件、测试接口、或者调试日志。

有个同行分享过他的土办法：用搜索引擎搜site:目标域名.com intitle:"登录"，经常能直接找到后台入口，因为有些开发者忘了给登录页面加robots屏蔽。更损的是搜site:目标域名.com filetype:sql，说不定能直接下载到数据库备份——密码就在里面躺着。

最让我印象深刻的是一次渗透测试，对方是家银行。他们的后台入口在官网的“人才招聘”板块——不是页面上的链接，而是招聘启事里附带的邮箱地址。我试着给那个邮箱发了一封带附件的邮件，附件里藏了段脚本。半小时后，脚本执行了，反向连接到了我的服务器。原来那个邮箱是外包开发商的，他们用同一个密码管理邮箱和服务器。

所以你看，找后台从来不是技术问题，是人性的问题。再复杂的加密、再严密的防火墙，都挡不住一个懒于改默认密码的管理员，或者一个把后台地址写在代码注释里的程序员。

那次帮客户清理完木马，我顺手把后台路径改成了/security-check-2024，密码换成了16位随机串。过了一周，客户打电话说后台又登不上了。我问他怎么回事，他说：“我把密码抄在便签纸上贴在显示器旁边了，保洁阿姨以为是垃圾，给扔了。”

我没忍住笑出声。找后台的路，永远比你想象的更曲折。但话说回来，这些漏洞的存在，恰恰说明多数网站真正缺的不是技术，而是对“默认设置”的警惕。