入侵网站后台教程

2023年某电商平台被曝出后台管理员密码是入侵“admin123”，攻击者用Burp Suite扫了一遍登录接口，网站十分钟内就拿到了订单数据库的后台读写权限。这不是教程段子，是入侵某安全团队在漏洞复现报告中贴出的真实截图。后台入侵的网站起点往往不是高深的技术对抗，而是后台运维人员随手设的弱口令。

后台登录页通常藏在/admin、教程/manage、入侵/login.php这类路径下。网站有人用dirsearch扫一遍目录，后台有人直接看robots.txt里有没有Disallow记录。教程我见过一个站，入侵后台入口写在首页JS文件的网站注释里——// 后台地址：/houtai.php。开发者可能觉得没人会去翻源码，后台但查看源代码这件事，门槛比喝水高不了多少。

找到入口只是第一步。登录框背后通常是SQL查询，SELECT * FROM users WHERE username='$user' AND password='$pass'。如果没做参数化，在用户名框里敲' OR '1'='1' --，密码随便填，直接进。这套把戏二十年了还在某些CMS里活着。去年一个教育机构的后台，用的是某国产cms的旧版本，注入点就在登录接口的username参数上，sqlmap跑完直接dump出管理员表，密码是md5存的，cmd5一查就出来了。

弱口令比注入更常见。有人拿top 1000密码字典撞库，有人直接试admin/admin、root/root、test/test。某次攻防演练，红队用admin/admin888进了三家单位的后台，其中一家还是做安全产品的公司。这事说出来像个笑话，但后台认证这块，很多系统就是纸糊的。

进去之后能干什么，取决于后台的权限设计。有的后台只有内容管理，那就能改页面、挂暗链。有的后台带文件上传，直接传个webshell，服务器就归你了。我印象最深的是一个政府站的后台，上传点只校验了前端JS的accept属性，抓包改成.jsp，返回路径一拼接，冰蝎就连上了。整个过程没用到任何0day，全是配置疏忽。

还有一种路子是越权。后台的某个接口比如/api/user/list，普通管理员只能看自己，但把请求里的userId改成1，就能看到超级管理员的数据。或者直接访问/admin/user/edit?id=1，把管理员的密码重置了。水平越权和垂直越权在后台系统里一抓一大把，开发时只在前端藏了按钮，后端接口压根没鉴权。

说这些不是教人干坏事。我写下来是因为这些案例在漏洞平台上一搜一大把，每个搞渗透的都能讲出几个更离谱的。后台安全的核心就三件事：入口别乱放、认证别偷懒、权限别糊弄。可现实是，很多团队连第一件都没做到。某次我帮朋友看他的小站，后台路径是/admin_login.php，登录框下面还写着“默认密码admin”。我问他为什么不改，他说“反正没人知道这个站”。三个月后，首页被挂上了博彩广告。

后台入侵这件事，技术含量可以很高，也可以低到让人无语。高到绕WAF、写内存马、做权限维持，低到拿默认口令直接进。大部分真实事件落在中间——一个没过滤的注入点，一个没删的测试账号，一个没改的默认配置。网站后台不是保险箱，它更像一扇门，门锁的质量取决于写代码的人那天有没有偷懒。