如何黑进一个网站的后台

去年有个做安全审计的何黑朋友给我看了一份渗透测试报告，目标是网站一家本地电商平台。他花了不到四十分钟就拿到了后台管理员权限，何黑入口不是网站什么高深的0day漏洞，而是何黑对方运维图省事留下的一个测试账号——用户名admin，密码admin123。网站这事听起来像段子，何黑但每年因为这类低级失误被攻破的网站后台，数量远超想象。何黑

后台入侵这件事，网站本质上不是何黑"黑科技"，而是网站信息收集加耐心。大多数人想象的何黑画面是敲几行代码屏幕上跳出"Access Granted"，现实里更多是网站翻找配置文件、扫描目录、何黑试弱口令，枯燥得很。

先搞清楚后台在哪

目标网站首页通常不会直接放后台入口，但robots.txt经常出卖它。有些站点会写Disallow: /admin/ 或者 /manage/，等于告诉全世界后台路径。没有robots.txt怎么办？试试常见路径：/admin、/login、/wp-admin、/administrator、/dashboard。WordPress站点尤其好找，默认后台就是/wp-admin，再配合?author=1参数还能枚举出管理员用户名。

还有个笨办法但很有效：用Google搜site:target.com inurl:admin。搜索引擎爬虫留下的缓存和索引，经常能翻出一些不该公开的页面。

弱口令是最短的那块木板

找到登录页之后，很多人直接上Burp Suite跑字典。但跑之前先手动试几个：admin/admin、admin/123456、test/test、guest/guest。我见过一个政府下属事业单位的OA后台，账号密码都是test，登录进去能看到全单位人员的工资条。

如果手动试不进去，再考虑用Hydra或者Medusa跑字典。但要注意，大部分现代后台都有登录失败次数限制，跑太快IP就被封了。这时候需要配合代理池，或者干脆换策略——找找有没有注册功能、密码重置功能、API接口暴露。

绕不过去的那些"捷径"

SQL注入在登录框里依然有效，尤其是那些老旧的ASP或者PHP系统。在用户名框输入' or 1=1--，密码随便填，如果后端没做参数化查询，直接就进去了。当然现在WAF遍地走，这种裸注基本会被拦。稍微变形一下：' or '1'='1'/*，或者用时间盲注判断注入点是否存在。

文件上传漏洞也是后台入口的常客。有些网站的后台登录页旁边挂着一个"上传头像"或者"导入数据"的按钮，如果上传目录没有做权限隔离，传一个webshell上去，后台就是你家。我见过最离谱的是一个在线教育平台，上传接口连文件类型都不校验，直接传.jsp文件就能执行。

拿到后台之后呢

进去只是第一步。后台功能越复杂，能做的事越多。常见操作包括：在模板文件里插入一句话木马、通过数据库备份功能导出webshell、利用后台的SQL执行功能直接提权。有些后台还带"系统设置"里的文件管理功能，等于把服务器文件系统直接摊在你面前。

不过得说清楚，以上所有操作在没有授权的情况下都是违法的。刑法第285条、286条写得明明白白，非法侵入计算机信息系统罪、破坏计算机信息系统罪，起步就是三年以下。我那个朋友做渗透测试，是拿了客户书面授权书的，每一步操作都有记录和边界。

真正想学这块，建议去搭个靶场。DVWA、Pikachu、VulnHub上大把模拟环境，随便你怎么折腾。拿真实网站练手，那不是技术，是手铐预订。