【黑盒渗透技巧】后台登录口怎么打？6 条突破路径

小草培养创研中心

2026年10月8日 18:40
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

拿到一个后台登录页，你的第一反应是什么？

丢字典爆破？还是先看验证码逻辑？

真正打进去的人，八成没在猜密码。

他们干的是另一件事——找服务端判断“你是谁”的时候，错误信任的那个东西。

说白了，登录口防线最薄弱的地方，从来不是密码强度，是信任边界的设计。

路径一密钥就在前端躺着

什么时候往这个方向想？

当目标用了token、签名、JWT这类认证方式。这时候别急着爆破，先去前端把 JS 全下载下来翻一遍。

为什么有效？

很多系统的签名密钥就硬编码在 JS里。密钥在客户端 = 你自己就是发证机关，想签谁签谁。

案例A：NocoBase 的默认 JWT 密钥可破解

某网站跑着开源低代码平台 NocoBase。它的JWT 签名密钥是出厂默认值，网站上线全程从没改过。

密钥知道了，token 就能自己造：

import jwtpayload = {\"userId\": 1, \"temp\": True}token = jwt.encode(payload, \"test-key\", algorithm=\"HS256\")

携带着这个伪造的 token去请求权限接口，服务端原样返回了身份：

用户名 superAdmin、角色 admin。认证体系到此全线失守。

划重点

Token 伪造只是入场券。真正决定杀伤力的是：拿到管理员身份后，应用里有哪些“能以高权限执行代码”的功能。工作流节点、表达式引擎、定时任务、数据源配置——这几处是重灾区，进去先找它们。

案例 B：开源项目的默认 RSA 私钥

第二个案例更省事。某平台用了开源的 WVP-PRO 做视频汇聚，而这个项目是自带的默认 RSA 私钥。这套私钥 GitHub 上人人可下。拿它重新签名，就能伪造任意身份的 JWT，最终直接在系统里加了个管理员账号。

划重点

遇到 WVP-PRO、ZLMediaKit、RuoYi、Nacos、Jenkins 这类知名度高的开源组件，先去 GitHub 翻它的默认配置文件。jwk.json、application.yml、docker-compose.yml 里的默认密钥是重灾区——运维往往改了数据库密码，却忘了这些“看起来不像密码”的密钥。

案例 C：自研签名算法，密钥也写前端了

第三个案例没用 JWT，是一套自研的签名机制。前端 public.js 里写得明明白白：

function sendData(url, data, func) {// 1. 将发送的数据对象转为 JSON 字符串let d = JSON.stringify(data);// 2. 生成用于签名的原始字符串 tlet t = \"3dc5xxxxxxxxxxxxxx\"　　　　　　+ \":\" + clearSendData(d)　　　　　　+ \":\" + dateToStr(new Date());// 3. 对 t 取 MD5 作为 tokenlet token = md5(t);// 4. 在 AJAX 请求发送前，把 token 放入请求头　　$.ajax({url: url,beforeSend: function (request) {　　　　　　request.setRequestHeader(\"token\", token);//认证凭据　　　　}　　   //注意：这里没有配置method、data、success等参数　　});}

划重点

自研签名算法的致命处，不是 MD5 弱，而是密钥下发到了浏览器。就算换成国密 SM3，只要前端能算出签名，后端就不可能凭签名确认身份。判断标准就一句话：前端能算的，就一定不可信。

路径二身份认证接口未授权

什么时候往这个方向想？

JS 中抓到大量接口，可以访问。

但具体是谁、能看哪些数据，是不同角色的凭据决定的。

案例 A：会话 Token 被未授权接口直接吐出来了

某平台，用户列表接口在未授权状态下就能访问。更离谱的是，响应体里每个用户的 session\_token 都遭到泄露。

只要能搞到一个有效 token，就能登录所有接口。

划重点

这类问题的本质是认证和授权完全脱节。测试时的关键动作就一个：看到用户列表、成员列表、角色列表这类接口，第一反应就是搜 token、session、password、secret 这几个字段。

路径三拦截器有缝，换个姿势就进去了

什么时候往这个方向想？

未授权访问接口已经被拦截。

这条路径性价比最高——不需要任何凭据，只要找到那条配漏了的规则。

招式一：换个 HTTP 方法

某智慧市监系统的企业人员接口，用 GET 访问时老老实实被拦了：

但只要换成 POST，再随便塞个空 JSON：

POST /enterprisePerson/getData HTTP/1.1Content-Type: application/jsonContent-Length: 2{}

同一个接口，POST 一下就出了海量个人信息。

划重点

很多系统的拦截器是按“HTTP 方法 + 路径”配的。所以遇到 401 / 403，成本最低、命中率最高的第一招就是切方法：GET ↔ POST ↔ PUT ↔ DELETE ↔ PATCH ↔ OPTIONS ↔ HEAD。

招式二：路径里加个分号

这是全部战报里技术含量最高的一条链，起点只是路径里多了一个分号。

某平台是 Spring Boot 应用，Actuator 端点本该被安全配置拦住。攻击者在路径里插了个分号矩阵变量，直接看到了端点列表：

GET /actuator → 401 / 403 被拦GET /;/actuator/heapdump → 200 OK 进去了

原理：Shiro / Spring Security 做路径匹配时用的是“规范化后”的路径，底层 Servlet 容器用的是“原始路径”。两边对 ;、//、%2e、..; 的理解不一致，缝隙就出来了。

heapdump 捞到的是这个系统的“免登录凭据” clientKey。把它塞进 Cookie，刷新页面，直接进后台：

划重点

整条链的起点就是路径里那个分号、方法的变形。一个字符的绕过，换来几十万条敏感数据。

路径四未隐藏的注册接口

注册接口往往比登录接口好打

如果找到注册路由 / 接口，注册成功后拿到的那个“合法低权限账号”，是你后面所有测试的基准身份。

某有些平台把注册入口藏起来了，URL 参数 fuzz 就出来：

主页不显示注册入口，但：http://<target>/H5/XXXX/index.html#/pages/login?s=serviceApp注册登录后 → 遍历 5000+ 接口

路径五基础设施登录口

别只盯着业务登录页，业务管理入口Druid / Actuator / Nacos往往只有默认口令，甚至无认证。

Druid 看数据源配置、Actuator heapdump 挖连接串、Nacos 读配置中心的密码。

案例 A：Heapdump 里全是宝

Spring Boot Actuator 的 heapdump 会导出整个 JVM 堆内存快照，所有存活对象都在里面——当然也包括各种凭据字符串。

# 下载堆转储curl -k -o heapdump \"https://<target>/actuator/heapdump\"# 关键字直接搜（最快）strings heapdump | grep -iE \"password|passwd|pwd|secret|token|key|jdbc:|redis|mysql://\"

这一份堆转储里就捞出了数据库超级用户的口令，还有前面提到的那个 clientKey。

划重点

heapdump 最妙的地方在于——系统自己发明的认证方式（比如 clientKey）也会被完整 dump 出来。很多自研系统用这类“免登录凭据”代替会话，觉得很安全，但它就是内存里的一个字符串，抓取即得。

路径六口令本身弱

最朴素的一类，但命中率极高。关键是——这些口令大多不是爆出来的，是被“推”出来的。

例如：

admin / admin123 一把进。

把这些目标的弱口令反推一下，规律很明显：

【通用管理员】

·admin / admin123

·admin / 123456

·root / root

·test / test

【单位 / 姓名特征 —— 命中率高】

·单位缩写 + 键盘规律

·单位拼音 + 年份

·系统名 + 年份

·姓名拼音 / 缩写 + 数字

【组件默认口令】

·nacos / nacos

·ruoyi / 123456

·druid / druid

【三条规律】

·年份普遍滞后 1~2 年（2026 年的系统还在用 2024 的口令）

·键盘规律（123456 / 13579+ / qazwsx）极其普遍

·同一单位系统常复用同一口令 →一次命中，全线失守

· · ·

最后，把上面所有内容压缩成一张清单：

【0~2 分钟】先摸清家底访问 /robots.txt、/sitemap.xml、/.git/config、/swagger-ui.html试 Swagger / Druid / Actuator / Nacos / Ueditor试 /actuator/heapdump 和 /;/actuator/heapdump试弱口令：admin/admin123、admin/123456、单位缩写+@+年份找注册入口（登录页、URL 参数、JS 路由表）
【2~10 分钟】把前端扒干净下载全部 JS，搜 appKey / secret / token / password / encrypt翻 SourceMap 还原源码找“没走统一认证封装”的接口（局部裸 ajax）
【10~20 分钟】无凭据打一遍所有接口每个接口都试：无 token / 切方法 / 加 {} / 分号变形抓登录后的接口，直接裸打搜用户列表、成员列表里的 token / session / password 字段
【随时】看返回去掉认证头，读报错信息

· · ·

∞三句话

第一句：别猜密码，猜“服务端信什么”。

密码只是服务端信的东西之一。它更信 token 密钥、userId、clientKey、session\_token——因为那些“看起来像是系统自己给的”。

第二句：前端的一切都先扒下来，一个字一个字看。

超过一半的突破口来自前端——JS 源码认证逻辑、小程序反编译产物，或者接口的一次无凭据响应。

第三句：一个接口的权限绕过，抵得上一万次爆破。

/actuator/heapdump 里；POST 请求后面那个{}；一个伪造的鉴权头，可以直接拿下后台数据。

你还有哪些登入口权限突破的技巧，欢迎留言。