怎么黑进网站后台

去年有个朋友半夜给我发消息，黑进后台说他的网站WordPress站点被人挂了博彩页面。我登进去一看，黑进后台wp-admin目录下多了个从没见过的网站PHP文件，时间戳是黑进后台凌晨三点十七分。攻击者没用什么高深漏洞，网站就是黑进后台猜到了他admin的密码——那密码是"admin123"加个感叹号。这事让我意识到，网站大多数人对"黑进网站后台"的黑进后台想象停留在电影里敲几行代码就攻破五角大楼，实际上真实入侵往往蠢得让人无语。网站

先说最古老也最有效的黑进后台方法：弱口令爆破。工具用Burp Suite或者Hydra，网站对着登录接口跑字典。黑进后台我做过一次授权测试，网站目标是黑进后台个地方企业的OA系统，字典跑了不到四十分钟就出了结果——用户名"test"，密码"test888"。管理员后来跟我说，这是外包公司交付时留的测试账号，三年没人删。这种事比你想象的多得多。很多后台根本没有登录次数限制，也没有验证码，等于把钥匙插在门上还贴了张纸条写着"请进"。

SQL注入是另一条路。前年有个电商站，商品详情页的id参数是整型，但没做过滤。构造id=1 AND 1=2 UNION SELECT 1,2,3,4,5--，页面直接回显了数据库版本和当前用户。继续往下走，从information_schema里拖出admin表，密码是MD5存的，扔进cmd5.com一查，明文是"qwer1234"。整个过程不到二十分钟。后台地址？robots.txt里明晃晃写着Disallow: /manage/。说真的，有些站长就像把备用钥匙藏在门垫下面，然后指望没人会翻。

文件上传漏洞更直接。某次我看到一个政府下属单位的网站，编辑器用的是老版本UEditor，上传接口没校验文件类型。传个.php改成.php.jpg，再抓包把后缀改回去，shell就到手了。拿到shell之后提权、翻配置文件、找数据库密码，后台自然就进去了。这套流程在渗透测试报告里写出来只有半页纸，但造成的后果可能是整个内网被穿透。

还有一种被严重低估的方式：社会工程。我认识一个做安全审计的，他黑进某公司后台靠的是给运维发了封邮件，附件是"年终奖发放表.xlsx"，实际是个宏病毒。运维点开之后，他拿到了VPN账号。听起来像钓鱼教程？但成功率极高。很多后台的入口不在代码里，在人身上。你技术再硬，架不住有人愿意点那个附件。

说到具体案例，去年某省级医院的预约挂号系统被入侵，攻击者根本没碰后台登录页。他扫到了Redis未授权访问，写了个SSH公钥进去，然后从内网横向移动到Web服务器，直接读的数据库配置。后台？他压根不需要后台，数据已经全在手上了。这说明一个事：盯着登录框猛攻是最笨的路径，但偏偏大多数人只盯着登录框。

防御这事其实不复杂，但需要持续做。登录接口加验证码和频率限制，能挡掉九成脚本小子。数据库查询全用参数化，SQL注入基本就绝了。文件上传白名单校验，别信前端JS那套。后台路径别用admin、manage这种，改成随机字符串，虽然不能根治但能减少被扫到的概率。最重要的是，别用弱密码。我知道这话说了等于没说，但每次看到"123456"还能登进去的后台，我都觉得这行饭太好吃了。

最后说个观察。我扫过一些站，发现很多后台的登录页面藏着注释掉的测试账号，或者JS文件里硬编码了API密钥。开发图省事留下的东西，最后都成了后门。安全这事没有一劳永逸，只有谁比谁多走一步。攻击者往往不是最聪明的那个，只是最有耐心的那个。