某次内网渗透测试，破解客户丢给我一个老旧的后台后台。管理员早忘了密码，密码系统是破解十几年前买的CMS，官方都跑路了。后台我盯着登录框看了十秒，密码直接试了试admin/admin888——进去了。破解客户目瞪口呆，后台我耸耸肩：这破系统默认口令压根没改过。密码

破解后台密码这事儿，破解说穿了就三层窗户纸。后台第一层是密码人的惰性，第二层是破解系统的漏洞，第三层才是后台暴力破解。大多数时候，密码你根本用不着跟哈希算法较劲。

先聊最土的招数——默认口令。你以为没人会用默认密码？太天真了。国内某知名路由器厂商，出厂后台账号admin，密码admin，卖了十年没改过。我见过一个连锁酒店的管理系统，全国几百家分店共用一套后台，账号admin，密码是酒店品牌名全拼加123。问就是当初部署的工程师图省事，后来想改，怕分店员工记不住。

密码猜不对怎么办？那就看系统给不给你留后门。很多老系统有个神奇的功能——密码找回。但找回逻辑写得跟闹着玩似的。有个案例，某政务系统找回密码时，会往注册邮箱发一封包含新密码的邮件。可问题是，那封邮件的发送时间、新密码的生成规则，全跟时间戳挂钩。你只要在凌晨两点整点提交找回请求，新密码必然是Admin2024+当前分钟数。这算系统漏洞吗？算，但更算开发者的懒。

再往下走，就是技术活了。SQL注入和越权，这俩是亲兄弟。我印象特别深的一次，一个后台登录接口，POST参数里有个user_id，默认是0。我把user_id改成1，服务器直接返回管理员的session token。整个后台连密码验证都跳过了，纯粹是后端程序员忘了校验权限层级。这种错误放在2024年还能见到，挺魔幻的，但现实就是如此。

实在没辙了，才轮到暴力破解。但暴力破解也不是傻乎乎地跑字典。你得先摸清规则——密码长度下限多少？有没有锁定策略？输入错误五次锁账号？那好办，我抓包发现锁定只针对IP，不针对账号。换IP池，每四个IP试一组密码，绕开限制。再配合社工库里的历史密码，命中率能到三成。有回碰上个硬茬子，系统强制密码必须含大小写字母数字特殊字符，我跑了三天字典没出来。后来查日志发现，管理员把密码贴在了电脑显示器边框上，保洁阿姨拍照发朋友圈炫耀，被我看见了。

最后说句掏心窝子的。破解后台密码，技术占三成，对人性的揣摩占七成。系统是死的，人是活的。任何密码最终都长在人脑的惯性上——有人用生日，有人用宠物名，有人用公司名加年份。你只要找到那个人的一丝痕迹，密码就在那儿等着你。至于纯算法层面的破解？那是最后的手段，而且多半用不上。