今年10月份的时候，菠菜园收到了大量扫描网站后台的攻击方法。所以这篇笔记波波将黑客常用查找网站后台的方法、工具总结一下，文末也为朋友们分享如何防御黑客基于网站后台登陆页面的注入攻击。
以下是黑客攻击的记录截图（部分）：
通过截图我们不难发现黑客对于网站的后台的攻击通常是采用注入的形式获得后台的账户密码。那么黑客是如何找到你的网站后台呢？
黑客查找网站后台往往通过以下几种方法：
1、根目录枚举法：
我们知道市面上大约有50%以上的网站，管理后台都放在网站的根目录下。比如常见的discuz论坛的后台登陆文件就是根目录下的admin.php。除此之外，还有诸如manage.php，houtai.php，control.php，panel.php，ucenter.php等。
黑客通过自己设置的工具，或者随意写一段curl请求代码，就可以轻易的获取这些网站的后台地址。
2、开源程序法：
所谓开源程序法就是利用开源程序的特定后台文件进行测试获取。在过去很多企业网站都采用dedeCms,phpCms等系统进行搭建开发，原因是成本低。不用开发后台程序，只需要对接好前端代码就可以立即上线。而黑客也正是利用这一点可以轻易的获取这些网站的后台。
3、工具扫描法：
工具扫描法是黑客最常用的方法，尤其是现在几乎没有人再去人工猜测。只需要利用一些工具就可以轻易的获取网站的后台。
黑客常用的扫描工具有：
①御剑。我们团队在2010年开发了一款御剑的网游也是这个名字，御剑的优势是使用简单，只需要简单动动鼠标就可以了。
②wwwscan。
③黑客神器——Burpsuite。
相比于前两个工具Burpsuite要显得专业许多，尤其是专业版本的Burpsuite集成了更多的工具，我们只需要利用其中的爬虫工具就可以很轻易的获取网站的相关文件。
4、搜索引擎。
有些网站因为服务器配置不当的原因，网站后台会暴漏出来被搜索引擎收录。我们只需要inurl指令进行搜索即可。只要指令用的好，后台得来全不费工夫。
5、robots.txt
菠菜园服务器每天都会收到大量访问robots.txt文件的请求，很多时候网站管理员为了不让搜索引擎收录一些敏感的内容，就会把这些内容放在robots.txt文件中。而这恰恰成了黑客攻击的对象。
早些时候波波禁止了服务器所有txt文件的访问，现在也放开了，谁爱攻击谁攻击去吧。只是说这种方法很容易防护，朋友们知道会泄露网站后台即可。
6、旁站
有些网站的后台跟用户访问的地址并不一样。比如波波之前开发的挖金矿的游戏，用户的前端需要配置顶级域名，而后台需要绑定另外的域名。目的就是为了防止一些居心不良的人获取网站后台。
对于这种类型，黑客常用的方法就是扫描二级域名。
黑客查找网站后台的工具和方法讲完了，相信读到这里的朋友除了对黑客这些手法有了认识之外，也知道怎么防护了。不过波波还是要罗嗦下网站后台的防护方法。
方法一：混淆网站后台文件。
通过复杂的，与admin，manage等词汇没有关系的名字作为网站的后台文件。
方法二：禁止不明爬虫。
网络上爬虫很多，除了正常搜索引擎的抓取之外很多都往往带有恶意。我们首先可以在防火墙上设置禁止一切爬虫，然后再在例外规则中允许百度、搜狗、360、谷歌等爬虫。如果想再严格一些最好带上IP地址验证。因为有些技术人员会模拟搜索引擎的蜘蛛抓取，但是IP地址无论通过多少层代理却是做不了假的。
当然了严格的防火墙规则需要自己书写，难度上有稍微的增加。
方法三：网站后台仅允许特定IP访问
这种方法应该是最省心的。首先把网站用户登陆和后台管理分开。然后设置网站后台仅允许特定IP访问。唯一麻烦的是多数人上网的IP地址是动态变动的，需要每次登陆后台时修改防火墙。
防火墙规则如上图所示，波波服务器的防护状态是关闭的。这里不再演示。
方法四：后台放在内网。
这种方法一般只有大公司才会用到。网站的前端和后端采用IP段分开管理。这样除非黑客能渗透到内网，否则只能望站兴叹。
以上就是波波对黑客常用查找网站后台的方法、工具及防御方法的总结。如果有遗漏或错误的地方也欢迎大家指出来。通过上述方法，基本上能让90%以上的黑客们攻击到绝望。明天为大家分享如何判断网站是否存在XSS漏洞，以及如何快速入门XSS攻击。
