```html

网站后台密码破解

去年帮一个客户做安全巡检，登录他们后台时发现管理员密码是后台 admin123。更离谱的密码是，登录页面没有任何验证码、破解没有登录次数限制，网站我写了个循环，后台三分钟就试出了另外两个高权限账户。密码这不是破解个例——后台密码破解之所以常年排在入侵手段前三，根本原因在于太多人把“后台”当成了自家保险柜，网站却在门上挂了把塑料锁。后台

后台密码破解，密码本质就是破解绕过或猜中认证机制。攻击者通常不碰前端登录框，网站而是后台直接找后台入口。很多CMS默认后台路径是密码 /admin、/wp-admin、/manager。有人用目录扫描工具跑一遍，几秒钟就能列出所有隐藏路径。我见过一个企业站，前台页面干净得像张白纸，后台却开着 /administrator，连 robots.txt 都没写。

拿到入口后，攻击者会先试默认凭证。这不是瞎猜，而是有数据支撑的。像 admin/admin、root/123456、test/test 这类组合，在弱密码字典里排前二十。有个做电商的朋友，后台密码是 shop@2023，他觉得够复杂了，但数据库备份文件就扔在网站根目录，压缩包名字叫 backup_2023.zip。我下载下来，里面直接有明文密码。

暴力破解现在很少用纯手工了。工具如 Hydra、Burp Suite 的 Intruder，配合代理池，一分钟能跑上千次请求。但前提是目标没有锁定机制。很多后台只是简单返回“密码错误”，不记录失败次数，也不加延时。我测试过一个政府下属单位的OA系统，连续输错50次密码，页面连个验证码都不弹。这种设计等于把钥匙插在锁上，还贴了张纸条写着“随便试”。

还有一种更隐蔽的路子——密码重置逻辑漏洞。比如后台“忘记密码”功能，验证码通过短信下发，但短信接口没做频率限制。攻击者可以无限次请求验证码，同时用 Burp 抓包修改手机号，把验证码发到自己手机上。我去年在一个在线教育平台的后台就复现过这个漏洞，当时他们用的是某云短信服务，接口鉴权只校验了签名，没校验目标号码。改个参数，重置链接直接发到我邮箱。

数据库泄露也是常见入口。有些站点的 /data/ 目录没做权限控制，直接能下载 .sql 文件。下载后打开，用户表里密码字段是 MD5 哈希。很多人以为 MD5 不可逆就安全了，但像 e10adc3949ba59abbe56e057f20f883e 这种，去 cmd5 一查就是 123456。我试过用 hashcat 跑一个普通字典，八位纯数字的 MD5 平均三分钟出结果。

后台密码破解的防御其实不复杂，但需要真去做。登录失败五次锁定IP十分钟，加个图形验证码，强制密码长度十二位以上且包含特殊字符，后台路径改成随机字符串，数据库备份文件不放在web目录。这些措施成本很低，但能挡住九成以上的自动化攻击。我见过最敷衍的防护是——把登录按钮的 type="submit" 改成 type="button"，然后前端用 JavaScript 校验密码。查看源码就能看到明文密码，这种自欺欺人的做法，不如直接写个“欢迎入侵”。

本文提到的所有技术细节仅用于安全防御讨论。未经授权对他人系统进行密码破解属于违法行为，根据《刑法》第二百八十五条，可处三年以下有期徒刑或拘役。