破解网站后台密码

去年秋天，破解一个做外贸的网站朋友半夜给我打电话，说他的后台独立站后台被人改了管理员邮箱，订单数据全被锁死。密码他问我：“他们到底怎么进来的破解？”我让他把服务器日志发过来，翻了二十分钟，网站发现攻击者根本没用什么高深漏洞——密码是后台 `admin123`。这事听起来像段子，密码但每天都在发生。破解

网站后台密码被破解，网站九成以上不是后台因为黑客技术多强，而是密码因为密码本身太弱，或者密码泄露的破解路径太容易被找到。我见过最离谱的网站一个案例，某小型电商后台的后台登录密码是 `qwerty2023`，而登录地址就写在网站页脚的“管理入口”链接里。攻击者甚至不需要扫描，直接点进去，试了三次就进去了。

暴力破解到现在依然有效，但方式变了。以前是单线程硬猜，现在用分布式代理池，每秒能试几千次。如果你的后台没有登录次数限制，或者限制只针对单个IP，那基本等于不设防。我做过一个实验，用一个常见的密码字典对某开源CMS后台发起测试，不到四十分钟，一个使用 `password` 作为密码的测试站就被攻破了。字典里排前一百的密码，覆盖了大约三成的真实后台。

另一种常见路径是撞库。很多人在不同网站用同一个密码，某个小论坛被拖库，攻击者拿到邮箱和密码组合，直接去试你的网站后台。我认识一个做摄影社区的朋友，他的后台密码和他十年前注册的某个游戏论坛密码一模一样。那个论坛2015年泄露过一次数据，他的后台在2021年被登录了，攻击者什么都没改，只是留了一个webshell，每隔几天来取一次用户数据。他直到半年后才发现。

还有一类不那么“技术”的破解方式：密码重置逻辑漏洞。有些网站的重置密码功能，验证码是四位数字，而且没有请求频率限制。攻击者用脚本从0000试到9999，一分钟内就能重置任意用户的密码。更粗糙的，重置链接里的token直接用了用户ID的base64编码，改一个数字就能重置别人的密码。这种漏洞在中小型网站里非常普遍，因为开发时只考虑了“能用”，没考虑“被滥用”。

那怎么防？先别急着买WAF或者上什么高级防护。第一件事，把后台登录地址从默认的 `/admin` 改成别的，比如 `/manage-7f3a`。这不能阻止定向攻击，但能过滤掉绝大部分自动化扫描。第二，强制密码长度至少12位，并且检查是否在已知泄露密码库里。第三，登录失败五次就锁定账户十五分钟，或者直接封IP一小时。第四，后台开启双因素认证，短信、TOTP都行，成本几乎为零，但能挡住九成以上的密码破解。

我自己的服务器后台，密码是随机生成的32位字符串，存在密码管理器里，登录地址改过，并且只允许特定国家的IP访问。听起来麻烦，但设置一次，后面就不用管了。攻击者看到登录页面直接返回403，连试密码的机会都没有。

说到底，破解后台密码这件事，攻击者找的是最省力的路径。你把最省力的那条路堵死，他们就会换目标。绝大多数网站不值得被针对性地攻击，只要你的防护比隔壁那家强一点，你就安全了。这不是什么高深的安全理论，这是成本博弈。