网站后台账号密码获取

去年冬天，网站一个做外贸的后台获朋友半夜给我打电话，说网站后台进不去了，账号怀疑被人改了密码。密码我让他别急，网站先试试“忘记密码”功能。后台获结果邮箱是账号他自己的，但收不到重置邮件——因为域名邮箱的密码DNS被改了。这就是网站典型的账号密码获取链条：攻击者不直接破解密码，而是后台获先拿下邮箱，再重置后台密码。账号整个过程不到二十分钟。密码

很多人以为后台账号密码获取就是网站暴力破解或者撞库。其实真正高效的后台获路径往往绕开密码本身。我见过一个案例，账号某小型电商网站的后台管理员图省事，把密码设成“admin123”，但登录入口藏在`/manage/login.php`这种非常规路径下。攻击者怎么找到的？通过Google搜索`site:example.com inurl:login`，或者用目录扫描工具跑一遍。找到入口之后，试三五个弱口令就进去了。这不算技术含量高，但确实有效。

更隐蔽的做法是抓取浏览器保存的密码。Chrome和Edge在本地存储的登录凭证，如果电脑中了信息窃取木马，攻击者能直接导出明文。我拆解过一个样本，它专门监控`Login Data`这个SQLite文件，每半小时打包一次发到C2服务器。受害者完全无感，因为浏览器照样自动填充密码，后台也能正常登录。直到某天网站被挂马，管理员才发现密码早就泄露了。

数据库泄露是另一条路。很多网站后台账号密码存在`admin`表里，字段名就叫`username`和`password`。如果密码用的是MD5，去彩虹表一查就出来了。有一次我帮人做应急响应，发现攻击者先在GitHub上搜到了该网站的源码仓库，里面`config.php`硬编码了数据库账号。连后台都不用猜，直接连数据库改管理员密码。这种“获取”方式，连登录框都不需要碰。

还有一种情况是内部人员泄露。某公司前运维离职时没交权，手里留着VPN账号和后台的SSH密钥。他半夜登录服务器，在`/var/www/html/admin`目录下加了一个`backdoor.php`，然后通过这个后门直接读取数据库里的管理员密码。这种获取方式最防不胜防，因为所有日志都显示是合法IP、合法账号。

那怎么防？别指望改复杂密码就万事大吉。后台登录加双因素认证，邮箱和后台账号分离，数据库密码不要明文写在代码里，定期检查服务器上有没有奇怪的PHP文件。我自己的习惯是，每月手动翻一遍`access.log`，看有没有人对`/admin`路径反复请求。有次就发现一个IP在凌晨三点尝试了四百多次登录，虽然没成功，但说明已经被盯上了。

说到底，网站后台账号密码获取不是单一动作，而是一条链。攻击者会挑最弱的那一环下手——可能是你的邮箱，可能是你同事的电脑，也可能是你三年前写在CSDN博客里的那段测试代码。别问我是怎么知道的。