去年秋天，破解一个做外贸的对方朋友半夜给我打电话，说他的网站独立站后台被人登进去了，对方没改密码，后台户没删数据，加账就干了一件事——加了个管理员账户。破解第二天他发现的对方时候，那个账户已经通过审核流程提了三笔小额提现。网站金额不大，后台户但这事让他后背发凉。加账我帮他看了日志，破解攻击路径简单得离谱：一个三年前离职员工留下的对方测试账号，密码是网站`admin123`，权限没清，后台户双重验证也没开。加账对方用这个账户登进去，给自己开了个新管理员。就这么简单。

后台加账户这件事，很多人以为需要多高的技术。实际上，绝大多数案例里，攻击者用的都是最笨的办法。弱密码、默认账户、未清理的测试账号、泄露的API密钥。我见过一个电商后台，登录接口连频率限制都没有，攻击者用Burp Suite跑字典，每分钟试两千次，不到四十分钟就撞开了一个运营账户。进去之后第一件事就是创建新管理员，然后把操作日志里自己那条记录删掉。如果站点没开异地登录告警，这事能瞒很久。

还有一种更隐蔽的路径，SQL注入。不是那种老掉牙的`' OR '1'='1`，而是通过搜索框或者报表导出功能里的参数拼接。有个案例是后台的用户列表页，排序参数直接拼进SQL语句，攻击者用报错注入拿到了数据库里的管理员哈希。哈希解不开没关系，他直接往`users`表里插了一条新记录，权限字段设成最高级。整个过程不需要知道原管理员的密码。这种漏洞在自研CMS里尤其常见，因为开发图省事，ORM用得不彻底。

文件上传也是重灾区。很多后台的头像上传、附件上传功能，只在前端校验了文件扩展名。攻击者抓包改个后缀，传个`.php`上去，然后访问那个文件。如果服务器没配好，直接就是一个webshell。拿到webshell之后，加账户就是一条SQL语句的事。我见过最离谱的一个，上传目录和执行目录是同一个，而且目录权限是777。那个站从上传到加管理员账户，全程不到两分钟。

说这些不是教人干坏事。我想说的是，防守方往往把注意力放在WAF、防火墙这些外围设备上，却忽略了后台本身就是一个高价值目标。加账户这个动作，在正常业务里太常见了，HR要加人、运营要加人、老板要加人。日志里多一条“创建用户”的记录，如果不是实时告警，根本没人会去看。攻击者正是利用了这个盲区。

那怎么防？我自己的做法是三条。第一，后台登录必须强制双因素，短信也好，TOTP也好，硬件密钥更好。第二，创建管理员账户这个操作，单独设一个审批流，不能一个人点一下就生效。第三，所有后台的写操作日志，实时同步到另一台机器上，攻击者就算删了源日志，副本还在。这三条做到，加账户这件事基本就堵死了。成本不高，就是麻烦一点。但比起半夜被电话吵醒，我宁愿白天麻烦一点。

最后说个观察。很多中小型网站的后台，开发阶段为了调试方便，留了一堆后门账户和万能密码。上线的时候忘了删。这些账户在代码仓库里躺着，哪天源码泄露了，或者被离职员工带走了，就是一颗定时炸弹。清理这些历史遗留问题，比买什么高级安全设备都管用。可惜大部分人不会去做，因为不出事的时候，它看起来一点都不急。