去年夏天，网站万我在一个技术论坛上看到有人发帖：“求一个万能账号，账号站都能登所有网站那种。对任”底下跟了几十条回复，意网有效有人调侃“给我也来一个”，网站万有人认真解释“不存在的账号站都”。但没过多久，对任一个自称做渗透测试的意网有效网友丢出一张截图——某个后台管理界面，用户名填的网站万是admin，密码栏空着，账号站都居然直接进去了。对任评论区瞬间炸了。意网有效

这事听起来像天方夜谭，网站万但类似案例并不少。账号站都很多年前，对任某些国产路由器默认账号密码都是admin/admin，大量网站后台安装完CMS之后懒得改初始凭证，数据库里还留着root加空密码。说白了，所谓“万能账号”不是某个神秘字符串，而是一类被反复利用的默认配置漏洞。你拿admin试一百个网站，可能九十九个把你拒之门外，但剩下那一个，门是虚掩的。

我有个做安全审计的朋友，他电脑里存着一份“字典”，里面全是这种组合：admin/123456、test/test、guest/guest、user/1234。他跟我说，真正有效的“万能账号”其实是一组行为模式——先看网站用什么框架，WordPress就试admin/admin，phpMyAdmin就试root空密码，Tomcat后台就试tomcat/tomcat。这些不是魔法，是懒。开发者图省事，运维不上心，最后就成了公开的秘密。

但你要真以为存在一个账号能通杀所有网站，那纯属想多了。现代稍微像点样的平台，密码策略早就强制大小写加符号，登录失败几次就锁IP，还有双因素认证。我试过拿一套常见弱口令去扫一些小型企业站，成功率不到百分之二。那百分之二里，大部分还是因为网站压根没人维护，服务器上跑着五年前的代码。这种站，你用admin能进，用123456也能进，甚至随便敲几个字符都可能撞进去——不是账号万能，是门根本没锁。

更讽刺的是，有些“万能账号”其实是后门。某款国产OA系统曾经被曝出内置账号system，密码是加密的固定值，厂商用来远程维护。后来源码泄露，这个账号就成了公开钥匙。你拿着它去登任何装了这套OA的网站，一登一个准。这算万能吗？算，但只对特定目标万能。换个网站，它连用户名都通不过。

所以每次看到有人求“万能账号”，我都觉得他们问错了问题。真正该问的是：为什么还有这么多网站在用默认配置？为什么改个密码这么难？我见过一个政府下属单位的门户，后台登录页面上赫然写着“初始账号admin，密码admin888，请登录后自行修改”。三年过去了，那个提示还在。你猜有多少人没改？

说到底，网站万能账号是个伪命题，但弱口令和默认凭证是真实存在的瘟疫。你不需要一个万能账号，你只需要比网站管理员更了解他的懒惰。而防御的方法也简单得可笑：把默认密码改掉，把不用的账号删掉，把登录失败次数限制住。就这三条，能挡住九成以上的“万能”尝试。可惜，总有人觉得麻烦。