后台登录页面就一个输入框，渗透连验证码都没有。网站我盯着那个URL看了三秒——`/admin/login.php`，后台路径没改，渗透默认端口，网站甚至连错误提示都懒得做区分。后台输错密码返回“密码错误”，渗透输对用户名返回“用户不存在”。网站这种细节，后台扫一遍就知道了。渗透

先试admin/admin。网站不行。后台admin/123456。渗透还是网站不行。换root/root，后台页面刷新了一下，还是那个灰扑扑的登录框。我靠在椅背上想了想，去翻这个站的前台。文章列表页底部有个“技术支持：某某网络”，点进去是个工作室主页，QQ号挂在显眼位置。搜这个QQ，贴吧里有人两年前问过“这站谁做的”，底下回复留了个手机号。手机号支付宝转账验证，真实姓名出来了。姓+常用缩写，组合成admin+姓的全拼，密码试了第三次，进去了。

后台界面简陋得让人失望。左侧菜单栏：文章管理、用户管理、系统设置。点进系统设置，数据库备份功能赫然在列。备份文件默认存放在`/backup/`目录下，文件名是日期加随机三位数。我随手点了一下，页面提示“备份成功”。然后用浏览器直接访问`/backup/20240516_837.sql`，整个数据库结构加数据全在眼前。用户表里管理员密码是md5，cmd5上查了五秒钟就出了明文。

这事过去快两年了。那个站后来换了CMS，加了验证码，路径也改了。但每次想起来，最让我后背发凉的不是技术漏洞，是那个手机号。做站的人把联系方式挂在首页，用同一个号码注册支付宝，用真名做后台账号——所有环节单独看都没问题，串起来就是一条完整的攻击链。渗透测试里有个词叫“信息收集”，听起来很专业，其实就是把散落在各处的碎片拼起来。拼图的人不需要多聪明，只需要有耐心。

我后来养成了一个习惯：每接手一个站，先花二十分钟看它的“关于我们”和“联系方式”。看备案号，看友情链接，看页脚版权年份。这些信息比任何扫描器都管用。有一次帮朋友看他的企业站，页脚写着“Powered by XXX CMS 5.2”，我直接搜这个版本的已知漏洞，十分钟拿到shell。他瞪大眼睛问我怎么做到的，我说你页脚自己写的。他愣了半天，说那是建站公司模板自带的，从来没注意过。

所以渗透网站后台这件事，技术占三成，剩下七成是观察。观察那些被人忽略的角落：robots.txt里禁止爬取的路径、404页面返回的服务器版本、登录失败时页面加载时间的变化。这些细节不会主动告诉你漏洞在哪，但它们会指路。真正难的不是拿到权限，是拿到权限之后怎么办。删库跑路？留个webshell？还是写份报告告诉对方你该换密码了？我见过有人把后台当自己家，改文章、加管理员、甚至上传头像——这种行为在圈子里叫“日站”，但说白了就是非法入侵。技术本身没有对错，用技术的人有。

那个站我最后只做了两件事：把数据库备份文件删了，在后台留言板留了一句“密码该换了”。第二天再看，登录页加了验证码，路径也改了。不知道对方有没有看到那句话，但至少那个手机号，应该不会再出现在后台账号里了。

(责任编辑：焦点)