我见过最离谱的何找一次渗透测试，目标站点的到网后台地址就是 /admin，连字典都没用上。站后址但更多时候，台地后台藏得比保险柜还深。何找你得学会用眼睛看，到网而不是站后址靠猜。

先看页面源码。台地别急着按Ctrl+U，何找先右键“查看框架源代码”，到网或者用浏览器的站后址开发者工具直接切到Elements面板。很多后台入口就藏在注释里——程序员总爱留一句“”这种鬼话。台地还有的何找藏在JavaScript文件里，比如某个叫config.js的到网文件，里面可能写着var adminUrl = "admin/login.html"。站后址我碰到过一个站，后台地址写在main.js的第三千行，前面全是动画特效代码，不仔细翻根本找不到。

再看robots.txt。这个文件本来是给搜索引擎爬虫看的，但很多站长偷懒，直接在里面写Disallow: /admin或者Disallow: /wp-admin。你直接访问域名/robots.txt，有时候能直接看到后台路径。我见过一个政府网站，robots.txt里把/system/login.jsp写得明明白白，连参数格式都标出来了，简直是在给攻击者递钥匙。

但有些网站不给你这种便宜。它们把后台藏在子域名或者不同端口上，比如admin.example.com，或者example.com:8080。这时候你得用点旁敲侧击的招。试试看网站的证书透明度日志——去crt.sh查一下这个域名的SSL证书历史记录，经常能翻出admin.example.com或者internal.example.com这种子域名。还有个土办法，直接猜：manage.、backend.、cms.、login.，挨个拼到域名前面试一遍，总有一个能中。

实在不行，就抓包看响应头。登录页面前台通常不会泄露什么，但你可以试着提交一个错误的用户名密码，然后看服务器返回的Location头或者Set-Cookie字段。有些框架会在重定向时暴露真实的后台路径，比如你提交到/user/login，它可能跳转到/admin/dashboard——虽然你没登录成功，但路径已经暴露了。

最后一招，看网站用的什么CMS。WordPress的后台固定是/wp-admin，Drupal是/user/login，Joomla是/administrator。你只要看网站底部的版权信息，或者页面meta标签里生成的工具名称，就能判断出系统类型，然后直接访问对应的默认路径。很多管理员懒得改默认路径，哪怕改了，也经常会留一个?q=user/login这种参数入口。

说到底，找后台靠的是观察力和耐心。别一上来就扫目录，那是最后的手段。先看代码、看文件、看响应头，把能利用的信息都榨干。我见过最隐蔽的后台，藏在/assets/img/upload/下面，伪装成图片上传目录——那哥们把后台整个做成了静态页面，不仔细看还以为是404错误页。

你找到后台地址之后，别急着高兴。先看看登录页面有没有验证码、有没有次数限制。如果什么都没有，那才是真正考验技术的时候——不过那就是另一篇文章的内容了。