凌晨两点十七分，扫描我盯着Burp Suite里那条跳动的网站红色告警，后颈发凉。后台目标站点的扫描后台登录页没有验证码，没有账户锁定策略，网站密码字段甚至没做加密传输。后台
这本来是扫描一次常规的授权渗透测试，甲方要求“随便看看”，网站可我没想到，后台后台入口就像没上锁的扫描保险柜门，虚掩着。网站
我输入了admin/admin，后台回车。扫描页面没有报错，网站直接跳转到了控制面板。后台那一刻我反而愣住了，这感觉不像黑客攻击，倒像回家推开了自己卧室门。系统里躺着近三年的订单记录，客户手机号、家庭住址、支付流水，全裸着躺在MySQL数据库里。
真正让我后背发凉的不是数据量，而是那个后台的“操作日志”模块——它居然是空的。说明从建站第一天起，管理员就没开启过日志记录。这意味着就算有人早我一步摸进来，删库跑路，甲方也只会以为是服务器故障。
我顺手点了下后台的“配置备份”功能，发现它会把整个站点压缩包存到网站根目录下的backup文件夹，文件名还是带日期的明文格式，比如site_backup_20231015.zip。这种文件，用搜索引擎语法输入site:xxx.com filetype:zip，三秒钟就能翻出来。我试了一下，还真他妈的能下载。那个压缩包里有数据库密码、API密钥、甚至服务器SSH的私钥。
你说这网站是外包给谁做的？我翻了翻页面底部的版权信息，一家本地网络公司，电话是座机。我拨过去，深夜自然没人接，但语音提示里连公司名都没报全，只说了句“您好，这里是XX网络”。
后来我把报告发给甲方，对方IT主管在电话里沉默了十几秒，问我“能不能先别写进正式报告，怕领导问责”。我说行，但建议他们当天就关掉那个backup目录的访问权限，改掉默认密码，装个Web应用防火墙。对方嗯嗯啊啊地应着，我也不知道他听进去多少。
这种事干多了，我越来越觉得，扫描后台不是什么高深的技术活。真正难的是让客户相信，他们的网站后台可能比自家小区门禁还松散。门禁好歹还要刷个卡，可很多后台，只要你肯花十分钟试几个弱口令，就能进去观光。
有个做外贸的朋友更离谱，他们公司网站后台密码是“123456”，用了五年，直到被入侵者把首页换成赌博广告才反应过来。我问他们当初为什么设这么简单的密码，运营小姑娘说：“技术部说后台只有我们几个知道，不用太复杂。”
你看，问题从来不在技术，在人。人觉得“没人会费劲来搞我们小公司”，可黑客脚本每天都在全网扫IP段，根本不分大小公司。那些自动化工具，专挑后台路径、备份文件、未授权接口下手，一天能扫几千个站点。
我后来养成了个习惯，每次渗透测试完，都会顺手帮客户把后台登录页加个验证码。这活儿不赚钱，但至少能让我晚上睡得踏实点。毕竟，谁也不希望第二天早上看到新闻，说某公司因为后台裸奔泄露了百万用户数据——而那家公司，我上周刚提醒过。