网站后台账号密码忘了

上周三下午，网站忘我盯着公司官网后台的后台登录页，第三次输入那串自以为万无一失的账号密码。红色提示弹出来，密码像一记闷拳打在胃上。网站忘邮箱是后台admin@开头，密码栏里我试了大小写混搭、账号特殊符号、密码甚至把去年用过的网站忘旧密码也翻出来——全错。那一刻我才意识到，后台这个后台从搭建到现在两年多，账号我居然从没做过密码备份。密码

网站后台密码丢失，网站忘和忘带家门钥匙不一样。后台家门钥匙还能找开锁师傅，账号后台密码要是找不回来，你连网站文件都碰不到。尤其是那种托管在云服务器上的站点，控制面板进不去，数据库导不出，等于整站瘫痪。我有个做外贸的朋友更惨，他图省事把后台密码设成和邮箱一样，结果邮箱被撞库，黑客半夜登进后台，把首页改成了赌博广告。等他早上发现，百度已经收录了快照，清理花了一周。

说回我的情况。当时第一反应是找托管商。大部分虚拟主机或云服务商的控制面板里，都有“重置应用密码”的入口——前提是你还记得控制面板的账号。我运气好，服务商后台的密码存在浏览器里，自动填充进去了。点进MySQL管理，找到网站对应的数据库，用户表里躺着一条admin记录。密码字段是MD5加密的，一长串乱码。我试过在线解密，跑了几分钟没结果，果断放弃。

更直接的办法是改数据库。用phpMyAdmin打开wp_users表（假设你用的是WordPress），把admin那行的user_pass字段值替换成一段已知密码的MD5值。网上有现成的MD5生成工具，输入新密码，复制32位字符串，粘贴进去，保存。然后回登录页，用新密码登。成了。整个过程不到五分钟，比等邮件重置快得多。但这个方法有个前提：你得能访问数据库。如果连数据库密码也忘了，那就得去服务器文件里翻wp-config.php，那里明文写着数据库账号密码。

有人会问，为什么不走“忘记密码”邮件重置？很多后台的邮件发送功能依赖服务器配置，SMTP没设好，邮件根本发不出去。我试过，点完重置，页面提示“邮件已发送”，收件箱里空空如也。垃圾箱也没有。所以别太信任那个按钮。

还有一种情况：后台是别人搭的，你只是接手。前同事离职，交接文档里没写密码。这时候别急着猜，先翻服务器上的配置文件、笔记软件里的加密记录、甚至微信聊天记录搜“密码”两个字。我帮一个客户找回过三次后台密码，两次都是在旧聊天记录里翻到的。人总是高估自己的记忆力。

预防这事其实很简单。我现在的做法是：每建一个后台，立刻在密码管理器里存一条，同时把数据库里的admin密码改成随机长串，再单独记在离线备忘录里。别用生日、手机号、公司名加123。那些撞库脚本第一个试的就是这些。另外，把后台登录地址从默认的/wp-admin改成自定义路径，能挡掉大部分自动化扫描。

最后说个真事。我认识一个独立开发者，他的个人博客后台密码忘了三年，一直懒得找。直到某天网站被挂马，他不得不进后台清理，才硬着头皮去数据库里改。改完发现，后台里存着几十篇没发布的草稿，都是这三年里随手写的。他后来跟我说，那感觉像在旧外套口袋里翻出一叠现金。密码忘了不可怕，可怕的是你永远不去找回来。