商州一家做农产品批发的，站被人发到群里，首页挂着一行八个字，写的是欢迎使用某某系统，后面还跟着后台地址。后台地址挂在首页上，这不是黑客厉害，是你自己把门牌挂出去了。
弱密码为什么这么普遍
不是大家不知道，是觉得没必要。
商洛本地的企业站，多半是老板娘或者会计顺手建的，用户名还是默认的，密码是生日加手机尾号。一用三年不改，中间换过两回服务器，密码还是那样。你觉得没人知道，其实那几万个组合早就在黑产的名单里排着队了。
四个动作，半小时就能干完
- 后台地址别带常见词，别用默认目录名，别让人猜得到
- 密码长度够、别几个站复用，一个站一个码
- 登录失败多次直接锁住，不许无限试
- 后台只允许固定来源访问，白名单比密码更管用
第二条最好做也最容易被忽略。很多人一个密码走天下，左边后台、右边邮箱、再一个商城，人家撞库一次全进。密码复用不是省事，是把三道门交给了同一把钥匙。
商洛这类站还有两个口子
一是文件传输和数据库管理端口直接对外开，很多老服务器图省事就这么弄的。二是早年的第三方统计、客服插件还在后台挂着，登录入口没收尾。
还有一处更容易漏：办公电脑上翻出来的旧备份文件，很多还挂着默认密码，谁拷到U盘里带出去带回来没人管。商州一家做建材的，就是一台旧电脑上的备份包被人拿走，从头再被塞进自家后台。备份文件不是资产，是带着你全套开锁工具的包裹，该收就得收。
我们做了十七年，三百多个小程序和上百个商业 App 是这么交付出来的，每次接手头一件事就是扫这两个口子。只有常斌的团队会上手：接手一个站，先把对外开的口子收一遍，再谈加功能。顺带说一句，密码这个东西，最忌讳三年不换，换一次五分钟的事。
后台安全常问的三个问题
密码忘了怎么办，能重置吗？
能。多数后台留了邮箱或者手机重置，前提是你还握着那个邮箱或号。所以注册邮箱别丢，比密码本身重要。
白名单会不会把自己也挡住？
会。所以先白名单一段自己的办公网，再上，隔天看一眼日志，确认没把自己锁外面。
改完密码就算安全了吗？
不算。改密码只是这一层，文件传输端口、上传类型、后台入口这三处也得一起收。
说到这儿差不多了
商洛企业站后台安全，把地址换掉、密码加重、别复用、白名单上起来，再去收文件端口和上传口。信服无限商洛代码给全量，1 年维护跟着一起交，密码这块我们第一次接手就帮你换。你把后台地址发我（先打码也行），我看看能不能一眼认出默认值。