内容摘要：去年冬天，我帮一个做电商的朋友查服务器日志，发现有人在凌晨三点到五点之间，用同一组IP轮番请求后台登录接口，平均每分钟尝试40次密码。这不是什么高级攻击，就是最原始的字典爆破——拿一堆常见密码挨个试。

去年冬天，网站我帮一个做电商的后台朋友查服务器日志，发现有人在凌晨三点到五点之间，密码用同一组IP轮番请求后台登录接口，爆破平均每分钟尝试40次密码。工具这不是网站什么高级攻击，就是后台最原始的字典爆破——拿一堆常见密码挨个试。朋友的密码后台密码是“admin123”，撑了不到两小时就沦陷了。爆破

网站后台密码爆破工具，工具本质上就是网站自动化尝试密码的脚本。它干的后台事很单调：读取一个用户名字典，再读取一个密码字典，密码然后反复向登录接口发送请求，爆破直到返回状态码不是工具401或200（取决于具体实现），或者页面内容里出现“欢迎管理员”之类的关键词。就这么简单。

工具长什么样

市面上常见的几款，比如Burp Suite的Intruder模块、Hydra、Medusa，还有专门针对Web表单的Patator。Hydra用起来最直接，一条命令：hydra -l admin -P pass.txt 192.168.1.1 http-post-form "/login:user=^USER^&pass=^PASS^:F=incorrect"。意思是拿admin这个用户名，配合pass.txt里的每一行密码，往/login这个路径发POST请求，如果返回内容里没有“incorrect”，就说明密码对了。

但现实里的后台往往没那么老实。有的加了验证码，有的登录失败三次就锁IP，有的在请求头里塞了CSRF token，每次提交都得带上。这时候就得写更细的脚本，用Python的requests库配合BeautifulSoup抓token，再模拟提交。我见过一个开源项目叫“WebBrute”，专门处理这种带token的表单，代码不到200行，但把逻辑拆得很清楚。

字典才是核心

工具本身不值钱，值钱的是字典。网上流传的“rockyou.txt”有1400万条密码，是从早年泄露的社交网站数据里扒出来的。但真要爆破某个特定网站的后台，通用字典效率很低。更聪明的做法是收集目标网站的信息——公司名、域名、员工邮箱前缀、常用缩写，然后生成针对性字典。比如目标叫“蓝鲸科技”，那密码可能是“lanjing123”、“bluewhale2024”、“lj@admin”这类组合。

我试过用CeWL爬目标网站首页，抓出所有出现过的单词，去重后生成一个几千条的字典。配合Hashcat的规则引擎，把每个单词后面加上“123”、“!”、“2024”这些后缀，命中率比纯rockyou高不少。

防御比攻击简单

说句实在话，大部分后台被爆破成功，不是因为攻击者多厉害，而是因为管理员太懒。密码设成“admin888”，登录接口没有任何频率限制，失败提示还区分“用户名不存在”和“密码错误”——这等于告诉攻击者用户名猜对了。

有效的防御就几条：强制密码长度12位以上，包含大小写和符号；登录失败五次后锁定账户或IP，锁定时长递增；所有登录请求都走HTTPS，防止中间人抓包；后台路径别用“/admin”，改成随机字符串。我自己的服务器后台路径是“/x7k2m9”，两年了，日志里连一次爆破尝试都没有。

还有个容易被忽略的点：日志监控。如果同一IP在十分钟内触发了20次登录失败，直接封掉，同时发邮件告警。我用fail2ban配了条规则，效果立竿见影。

工具本身没有善恶之分。渗透测试人员用它来评估客户系统的安全性，攻击者用它来碰运气。区别只在于你有没有授权，以及你的密码够不够硬。