后台地址通常不是登陆网站首页。很多人第一次找后台，网站习惯直接在浏览器里输入域名，后台比如`www.example.com`，管理回车之后看到的系统是前台页面，然后就懵了——管理入口在哪？登陆其实后台一般藏在子目录或子域名里。常见的网站有`/admin`、`/login`、后台`/manage`、管理`/dashboard`，系统也有用`admin.example.com`这种形式的登陆。我见过一个做外贸的网站客户，后台路径是后台`/wp-admin`，因为用的管理是WordPress，这个路径算是系统公开的秘密。另一个做定制开发的站点，后台入口是`/console-x7`，这种就得问开发人员要，猜是猜不到的。
拿到地址之后，浏览器会弹出一个登录页。多数后台就两个输入框：用户名、密码。有些还会多一个验证码，或者图形滑块。验证码这玩意儿有时候挺烦人，明明输对了，它非说错误，刷新一下又变了。我自己的习惯是，如果连续两次提示验证码错误，就直接刷新页面重新来，别跟它较劲。
用户名和密码从哪来？如果是公司内部系统，找IT部门或者你的主管要。别自己瞎试，有些系统输错三次就锁账号，解锁还得找管理员，麻烦。如果是自己搭建的网站，比如用宝塔面板、WordPress、Typecho这些，安装的时候会让你设置管理员账号。忘了密码的话，一般登录页下面有个“忘记密码”链接，点进去走邮箱重置流程。但注意，有些后台的密码重置功能需要配置SMTP邮件服务，没配的话点了也没用，得去数据库里改。
说到数据库改密码，这算是个野路子。我遇到过一次，客户把WordPress后台密码忘了，邮箱重置又收不到邮件。最后是进phpMyAdmin，找到`wp_users`表，把`user_pass`字段的值改成MD5加密后的新密码。具体操作是：先在网上找一个MD5生成工具，输入新密码，复制那串32位字符，粘贴到数据库里。这招管用，但别乱用，改错了表结构网站就崩了。
登录的时候还有个小细节：注意看网址是`http`还是`https`。如果是`https`，浏览器地址栏会有个小锁图标。没有小锁的话，输入密码时留意周围有没有人，或者别在公共WiFi下登录。我见过一些老系统还在用`http`，传输的密码是明文的，抓包就能看到。这种系统要么催开发升级，要么自己弄个VPN再登。
有些后台登录后还会要求二次验证。比如Google Authenticator的动态码，或者短信验证码。这时候手机别离手。动态码30秒变一次，输慢了就过期，得等下一轮。短信验证码有时候延迟，等一分钟没收到就点重新发送，别连续点，否则可能被限制。
登录成功之后，界面通常左侧是菜单栏，右侧是内容区。别急着改东西，先看看右上角有没有“退出”按钮，确认自己进的是正版后台，不是钓鱼页面。钓鱼页面做得跟真的一样，但网址差一个字母。比如`examp1e.com`这种，数字1代替字母l。输密码前多看一眼域名。
最后说一个实际案例。有个朋友做电商，后台登录地址是`/seller`，他记成了`/sellers`，多打了个s，结果进了一个仿冒的登录页。他输了账号密码，第二天店铺就被上了几十个违规商品。后来查出来是钓鱼站。所以，后台地址最好存书签，别每次靠记忆输。书签也检查一下，别存错了。
登录后台这件事，核心就三点：找对地址、拿对凭证、看清域名。剩下的就是熟练度问题。不同系统界面不一样，但逻辑大同小异。多登几次就熟了。