去年夏天，网站一个做外贸的后台朋友找我，说他的破解独立站后台被人登进去了，订单数据被改得乱七八糟。教程我问他后台路径是网站什么，他说就是后台域名后面加个/admin。我当场用浏览器打开，破解账号框里敲了admin，教程密码框里试了123456，网站进去了。后台他脸都绿了。破解

这不是教程段子。很多网站后台的网站脆弱程度，比你想象的后台离谱得多。

先搞清楚后台长什么样

大部分CMS系统——WordPress、破解织梦、帝国、ThinkPHP写的各种管理面板——默认后台入口就那么几个：/admin、/manage、/login、/wp-admin、/dede。攻击者不需要什么高深技术，写个脚本批量扫这些路径就行。我见过一个扫描日志，某台服务器一天之内被尝试了四万多次/admin。

进去之后呢？默认口令是重灾区。admin/admin、admin/123456、root/root，这三组能覆盖相当比例的弱口令后台。有些老系统甚至数据库密码直接写在config文件里，而config文件又因为目录权限配置错误，能被直接下载。

常见的几条路子

SQL注入是最经典的。后台登录框的username字段如果没做过滤，输入 ' or 1=1 -- 就能绕过验证。这招十年前管用，现在很多框架已经修了，但老旧系统、二次开发的模板、外包赶工的项目里依然一抓一大把。我去年帮一个客户做渗透测试，他们用的某国产CMS最新版，登录处照样能注入。

文件上传漏洞更直接。后台一般都有上传功能，传图片、传附件。如果只在前端用JS校验后缀名，抓包改成.php就完事了。有些系统会在上传后返回文件路径，你传个webshell上去，服务器就是你的了。我见过最离谱的，上传目录可以直接通过URL访问，连路径都不用猜。

还有一类是逻辑漏洞。比如密码找回功能，验证码发到邮箱但验证环节可以跳过，直接改返回包就行。或者越权访问——普通用户改一下URL里的user_id就能看到管理员页面。这种漏洞扫描器扫不出来，得手工测。

一个真实案例

前年有个做教育培训的网站找我，说首页被挂马了。我看了下，用的是某开源建站系统，后台路径没改，版本号还写在footer里。搜了一下这个版本的已知漏洞，有个任意文件读取，构造一下URL就能读到数据库配置文件。数据库账号密码拿到手，进后台，传shell，完事。整个过程不到二十分钟。

你说这技术含量高吗？不高。但就是能进去。很多站长装完系统就不管了，后台路径不改，默认账号不删，版本不升级。等于家门钥匙插在锁上，还贴了张纸条写着“欢迎光临”。

防守其实不复杂

后台路径改成随机字符串，比如 /my-secret-panel-7x9k。默认账号删掉或者改强密码。登录加验证码，加失败次数限制。上传目录禁止执行脚本。数据库配置文件放在Web根目录之外。这些做完，能挡住九成以上的自动化扫描和脚本小子。

但问题是，很多人不做。我见过一个后台，密码是“admin888”，登录框连验证码都没有。我问他为什么不改，他说“改了怕自己记不住”。那被黑了也别怪谁。

技术从来不是最难的。难的是人愿意花五分钟去改个密码。