很多人第一次接触网站后台，进网是站管在浏览器地址栏里反复试。常见路径就两种：域名后面加/admin，理后或者/login。进网比如一个用WordPress搭的站管站，直接输www.xxx.com/wp-admin，理后大概率能跳到登录页。进网我见过一个做外贸的站管朋友，折腾了半小时，理后最后发现后台入口写在网站底部版权信息旁边，进网一行灰色小字“管理入口”。站管所以别急着猜，理后先翻到首页最底下看看。进网

后台地址不一定长得规整。站管有些CMS会把入口改成/manage、理后/system，甚至一串随机字符，比如/houtai-8x2k。这是为了防止被扫描工具盯上。如果你接手的是别人搭的站，最直接的办法是问原开发者，或者翻服务器上的配置文件。Nginx的nginx.conf、Apache的.htaccess里，通常能看到重写规则，顺藤摸瓜就找着了。

登录页出来了，接下来是账号密码。默认组合无非admin/admin、admin/123456，但正经站点早改掉了。数据库里存的是哈希值，不是明文。如果你有服务器权限，可以进MySQL或PostgreSQL，找到users表，看password字段。WordPress用的是phpass加密，想重置的话，直接在数据库里把密码字段改成MD5('新密码')的哈希，或者用WP-CLI命令wp user update admin --user_pass=新密码，比翻PHP文件快得多。

没有服务器权限怎么办？找站长。别笑，这是最靠谱的路子。我见过一个实习生，为了进公司官网后台，给IT部门发了三封邮件，抄送了直属领导，最后拿到一个临时账号。流程麻烦，但合规。反过来，如果你在搜索引擎里搜“XX网站后台登录”，跳出来一堆“破解工具”下载链接，千万别点。那些exe文件十有八九带木马，装完你的浏览器主页就被劫持了。

有些后台入口藏得深，但逻辑很直白。比如基于Django的站，默认后台在/admin，但urls.py里可能改成了/secret-panel/。这时候看网页源代码，搜action=或者href=里带login的链接，往往能发现线索。再不行，用浏览器开发者工具的Network面板，刷新首页，看第一个请求返回的HTML里有没有表单提交地址。

两步验证现在很普遍。光有密码不够，还得输手机验证码或TOTP动态码。如果你换手机丢了验证器，后台就进不去。这时候得找服务器上的.env文件，或者问运维要恢复码。我自己的习惯是，把恢复码打印出来塞钱包里，比存手机相册安全。

最后说个真事。有个做独立博客的哥们，把后台地址改成了/wp-login.php?secret=1，以为够隐蔽。结果某天发现有人用admin账号疯狂试密码，日志里IP来自俄罗斯。他赶紧装了Limit Login Attempts插件，又加了Cloudflare的防火墙规则。所以，进后台这件事，找到入口只是第一步，守住入口才是长期活。

(责任编辑：休闲)