去年有个做外贸的朋友半夜打电话，说网站后台被人改了首页，入网挂上了阿拉伯语的站后黑页。他慌得不行，黑客何进问我是入网不是服务器被黑了。上去一看，站后后台登录页还在，黑客何进但管理员密码被改了——攻击者压根没碰服务器，入网他是站后从后台直接进去的。这种事每天都在发生，黑客何进入口往往比你想象的入网简单。

最省事的站后路径是猜密码。很多后台的黑客何进登录地址就藏在 /admin、/login、入网/wp-admin 这种地方，站后甚至 robots.txt 里直接写着“不要爬取 /admin”。攻击者拿个字典跑一遍，几分钟就能试出弱口令。我见过一个政府下属单位的后台，账号是 admin，密码是 admin123。你没看错，2023年了还有这种配置。更离谱的是，有些后台连验证码都没有，用 Burp Suite 挂上代理，每秒能试几百个密码。

如果密码试不出来，那就找漏洞。常见的是 SQL 注入，在登录框的用户名里填 ' or 1=1 --，有些老系统直接就能绕过验证。十年前这种手法泛滥，现在少了，但没绝迹。我去年帮一个客户做渗透测试，他们的后台用的是某国产 CMS，登录接口把用户输入直接拼进 SQL 语句，连预处理都没做。一个单引号就进去了。还有文件上传漏洞——后台一般都有上传头像或附件的功能，如果没限制文件类型，传个 .php 的 webshell 上去，服务器就归你了。

另一种情况是后台根本没做权限隔离。有些网站的前台和后台共用同一套身份验证，普通用户登录后，把 URL 里的 user_id=123 改成 user_id=1，就能看到管理员面板。这叫水平越权。更严重的叫垂直越权——普通用户直接访问 /admin/dashboard，系统居然不拦。我见过一个在线教育平台，学生账号登录后，手动输入 /admin 就能进后台，里面能看到所有老师的工资条。开发人员可能觉得“没人会去试”，但攻击者恰恰就爱试这个。

还有一种不太技术但很有效的方法：钓鱼。给网站管理员发一封伪装成“系统升级通知”的邮件，里面放个假登录页。管理员输完账号密码，攻击者那边就收到了。这招对中小网站特别管用，因为管理员往往就是老板自己，对安全没那么敏感。我认识一个做茶叶电商的老板，点了一封“域名实名认证”的邮件，后台当天晚上就被挂了博彩链接。

拿到后台之后，攻击者一般不会立刻搞破坏。他们会先留个后门——比如在后台的“自定义代码”或“模板编辑”里插一段 PHP 代码，这样即使管理员改了密码，他们还能通过后门进来。然后慢慢翻数据库，找用户信息、订单记录，或者直接挂黑页炫耀。有些纯粹是为了卖链接，在后台加一堆隐藏的 <a> 标签，把权重导到自己的站上。

说这些不是教人干坏事，而是想说明一个事实：大部分后台入侵靠的不是什么高深技术，就是弱密码、没打补丁、权限乱给。你随便找个网站，扫一下目录，大概率能翻出 /admin 或 /manager。再试几个常见密码，说不定就进去了。防守方要做的其实不复杂——改掉默认路径、强密码、加个双因素认证、及时更新 CMS。但偏偏很多人连第一步都懒得做。

我自己的服务器后台，登录地址改成了随机字符串，密码 20 位，开了 Google Authenticator。每次登录要输动态码。麻烦是麻烦，但两年了，日志里连一次暴力破解的尝试都没有——攻击者一看这阵势，直接换目标了。