phpwind爆破账号密码工具

2016年夏天，破账我在一个Discuz论坛上看到有人贴出一张截图：某地方门户网站的号密phpwind后台登录界面，用户名已经填好，码工密码框里是破账一串明文——123456。发帖人说，号密这个站用的码工是phpwind 8.7，前台注册没开验证码，破账他写了个脚本，号密拿top 500弱口令跑了一遍，码工十分钟进了三个管理员账号。破账底下跟帖的号密人没几个觉得惊讶，倒是码工有人问“工具在哪下”。

phpwind这套CMS，破账早年跟Discuz平分天下，号密中小站长用得极多。码工它的登录逻辑在早期版本里有个很要命的习惯：验证失败时不锁账号，也不延时，验证码只在连续错三次后才强制出现。这就给了爆破工具足够的操作空间。你不需要多高深的技术，一个POST循环，配一份字典，就能把登录接口当自家后门敲。

我后来自己搭了个phpwind 8.5的环境做测试。抓包看登录请求，login.php?action=check，参数是username和password，密码明文传输，连MD5都没套。这意味着一件事：你甚至不需要逆向加密算法，字典里直接塞明文密码就行。当时我用的工具是Burp Suite的Intruder模块，把用户名固定成admin，密码位置挂上rockyou.txt的前一万条。跑起来之后，响应包长度有细微差别——登录失败返回的HTML比成功少了大概47个字节。就靠这个长度差，脚本能自动标记出命中的那一条。

真正让爆破效率翻倍的，是phpwind的一个设计缺陷。它的windid接口在验证用户时，如果用户名不存在，返回的错误码和密码错误是同一个。这意味着你没法通过错误信息判断账号是否存在，但反过来，你也不需要判断——直接对admin这个默认管理员账号猛攻就行。大部分站长装完phpwind之后，根本不会去改默认用户名，密码倒是会改，但改来改去逃不出“网站名+年份”“admin+数字”这几类组合。我见过一个站，密码是abc123456，字典里第37条就命中了。

写爆破脚本本身没什么门槛。Python的requests库，二十行代码搞定。关键在字典。网上流传的phpwind专用字典，很多是从早期泄露的库里面扒出来的，里面充斥着phpwind、wind、admin888这种。我自己整理过一份，大概两千条，覆盖了2010年到2015年间大部分中小站点的密码习惯。跑一个站，如果网络延迟在50毫秒以内，两千条大概两分钟跑完。要是站长没关gzip压缩，响应体小，跑得更快。

但这事有个转折点。phpwind从9.0开始，登录接口加了token机制，每次请求必须带一个动态生成的csrf_token，而且验证失败五次之后，账号直接锁十五分钟。这一下就把爆破的门槛抬高了。你得先写个爬虫去抓token，再维持session，还得控制请求频率。效率从“十分钟三个站”掉到“一小时一个站”，还得看运气。再后来，很多站长直接上了云WAF，像安全狗、云锁这类，识别到高频POST直接封IP。爆破工具再快，也快不过封禁列表。

我最后一次用爆破工具是在2018年，帮一个朋友检查他公司官网的安全性。那个站用的是phpwind 9.0.2，后台路径没改，默认的admin.php。我拿自己整理的字典跑了一轮，没中。朋友松了口气，我说你别急，我换个思路。phpwind有个wap模块，登录接口没走token验证，还是老逻辑。果然，从wap/login.php进去，字典跑到第400多条的时候，密码出来了——company2018。朋友脸都绿了。

工具本身没有善恶。phpwind的爆破脚本，本质上就是一段自动化测试代码，测的是站长对密码安全的重视程度。你拿它去测自己的站，叫安全审计；拿去测别人的站，叫非法入侵。区别不在代码，在授权。我写这篇文章，不是教你怎么去爆破，而是想说明一个事实：那些还在用phpwind老版本、后台路径没改、密码设成admin123的站，在自动化工具面前，跟没锁门没什么两样。你不需要是黑客，只需要会复制粘贴，就能进去。

现在phpwind官方已经停止维护了，但网上跑着的站还有不少。你要是手里有这么一个站，第一件事，把后台路径改了，第二件事，密码设长一点，第三件事，把登录失败次数限制打开。这三件事做完，爆破工具基本就废了。不做，那就只能赌没人盯上你。