去年秋天，网站我帮朋友看他的后台一个电商站。服务器日志里全是爆破`POST /admin/login`的记录，每秒三四次，网站IP来自全球各地。后台这不是爆破正常用户。有人在跑字典。网站

网站后台爆破，后台说白了就是爆破拿一堆用户名和密码组合，往登录接口上撞。网站撞对了，后台后台就是爆破你的。听起来很蠢，网站但每年都有人栽在这上面。后台我见过一个做外贸的爆破站，后台密码是`admin123`，被爆破进去之后，攻击者没改密码，只是悄悄挂了个赌博页面，站长三个月后才发现。

为什么后台爆破一直有效

不是攻击者多高明，是防守方太懒。很多人觉得后台地址藏得深就安全，比如`/admin_2024`、`/manage`，但爬虫和目录扫描工具几分钟就能翻出来。更别说有些站直接把后台入口暴露在`robots.txt`里，等于贴了张纸条告诉别人“来这边试”。

密码强度是另一个笑话。我统计过一批被爆破成功的案例，排前三的密码是`123456`、`admin`、`password`。有人用公司名加`123`，有人用`qwer`键盘走位。攻击者根本不需要什么高级字典，拿常见弱口令跑一遍就能进。

一次真实的爆破过程

我拿自己搭的测试站演示过。用Burp Suite抓登录请求，发现它没验证码，也没有登录失败锁定。把请求扔进Intruder，加载一个两万条的字典，线程开到50，不到十分钟就跑完了。结果里有一个302跳转，状态码和其他401不一样——那就是撞对了。整个过程没有触发任何告警，因为服务器只记录了请求，没人去看。

这还只是手动。现在有专门的工具，比如Hydra、Medusa，配合代理池和自动识别验证码的插件，效率更高。有些工具甚至能根据返回包长度差异判断成功登录，连状态码都不用看。

防守的笨办法和聪明办法

最笨也最有效的办法：强密码加登录失败锁定。密码至少12位，大小写数字符号混用，别用任何跟站名、域名、公司名相关的词。登录失败五次就锁IP十五分钟，或者直接上验证码。这两条能挡掉九成以上的自动化爆破。

再进一步，把后台登录路径改掉，别用`/admin`、`/login`这种。改成随机字符串，比如`/x7k9m2`，只让内部人知道。还可以加HTTP Basic认证，在进入登录页之前先要一层账号密码，等于给门再加一道锁。

如果站有CDN，开WAF。Cloudflare的免费版就能拦掉大部分爆破流量，它会在边缘节点直接屏蔽高频请求。我那个朋友的站后来上了Cloudflare，日志里`POST /admin/login`的记录从每天几万条降到几十条，剩下的都是漏网的。

别忽略日志

很多人不看日志。服务器每天产生几百兆的access log，扔在那不管。其实只要写个简单的脚本，统计一下单位时间内同一IP对登录接口的请求次数，超过阈值就发邮件告警。我用Python写过一个，二十行代码，跑在cron里，五分钟检查一次。抓到过好几次爆破尝试，提前封了IP。

后台爆破不会消失，因为总有人用弱密码，总有人不锁登录接口。攻击成本太低，一个字典加一个脚本就能跑。防守方要做的不是追求绝对安全，而是让自己的站比隔壁那个更难搞。攻击者也是要算成本的，撞不开你这扇门，他就去撞下一扇了。