织梦后台的织梦登录框弹出来那一刻，很多站长心里都清楚——默认的网站admin和admin组合，跟没锁门差不多。后台我见过一个做地方资讯的管理管理站，上线三个月没改密码，系统某天首页被挂了一串博彩链接，员密排查半天才发现是织梦后台被人用默认口令直接登进去，顺手改了几个模板文件。网站这事不复杂，后台但挺典型。管理管理

织梦（DedeCMS）的系统后台入口通常是/dede/或者自定义的目录名，登录页面会要求填管理员账号和密码。员密系统安装时默认生成的织梦管理员账号是admin，密码也是网站admin。这个设定在十几年前可能还说得过去，后台现在完全是把钥匙插在锁上还贴了张纸条。更麻烦的是，织梦的数据库里，管理员密码的存储方式在早期版本中用的是MD5，而且是那种不带盐值的裸MD5。这意味着一旦数据库被拖走，密码几乎等于明文。

有人觉得改个复杂密码就万事大吉。我试过在本地装一个织梦5.7，把密码改成大小写字母加数字加符号的十六位组合，然后去翻数据库表dede_admin。字段pwd里存的是一串32位MD5值。用彩虹表跑一下，如果密码是常见词汇加年份的组合，几分钟就能还原。所以光改密码不够，还得看版本。织梦从5.7SP2开始才在密码哈希里加了salt，但很多老站压根没升级。

后台登录的另一个口子是验证码。织梦默认开启验证码，但有些站长为了自己登录方便，把dede/login.php里的验证码判断注释掉了。这等于把暴力破解的门槛降到了零。我见过一个案例，攻击者用Python写了个简单的循环，每秒试三次密码，不到两小时就撞开了一个用“网站域名+123”做密码的后台。那站长后来跟我说，他以为域名没人知道就安全，可实际上搜索引擎早就把后台地址收录了。

改密码的正确姿势不是随便敲一串。织梦后台允许设置管理员账号，但很多人只改密码不改账号名。admin这个用户名本身就是攻击目标，应该直接删掉或者重命名。密码方面，我自己的习惯是用密码管理器生成一串20位的随机字符，里面包含大小写、数字和符号，然后单独存好。别用生日、手机号、域名缩写这些，社工库一查一个准。

还有一层容易被忽略：后台目录的访问控制。织梦默认的后台路径是/dede/，稍微有点经验的攻击者都会先扫这个目录。把dede文件夹改名成比如/mypanel_7x9/，再在服务器层面加一个IP白名单，只允许自己的办公IP访问，这样即使密码泄露，对方也进不来。我帮一个客户这么设置之后，日志里每天还有几十次尝试访问/dede/的记录，但全部吃了404。

数据库里的管理员密码字段，如果实在不放心，可以手动改成更安全的哈希。织梦的密码验证逻辑在include/userlogin.class.php里，懂PHP的话可以改成password_hash()配合password_verify()。不过这属于二次开发，升级系统时会被覆盖，得记着备份。普通站长没必要折腾到这个程度，把默认密码换掉、后台目录改名、加上登录失败锁定，已经能挡掉九成以上的自动化攻击。

最后说个真事。有个做摄影作品展示的织梦站，管理员密码设的是woaini1314。听起来挺长，但这是社工库里排前五百的弱口令。攻击者登进去之后没改密码，也没挂黑链，而是把整个站打包卖给了做灰产的人。新主人把内容全删了，换成了赌博模板。原站长过了两周才发现，因为那段时间他忙着拍婚礼，没看后台。密码这事，说到底不是技术问题，是习惯问题。