暴力破解、SQL注入

如何查找网站后台
查找网站后台入口
1、手工找默认后台（开源类程序）
admin/、admin/login.asp、manage、login.asp…
2、字典扫描
Web目录字典扫描方法，类似于暴力破解
代表软件：wwwscan，御剑后台扫描，DirBuster
3、目录爬行
网络爬虫，编写脚本，自动遍历Web目录，不依赖于字典，主要依靠爬行算法的效率。
代表软件：appscan，Awvs
4、google hack

如何防御查找后台
防查找网站后台入口
1、编写 robots.txt
robots.txt是搜索引擎中访问网站的时候要查看的第一个文件。在这个文件中网站管理者可以声明该网站中不想被搜索引擎访问的部分，或者指定搜索引擎只收录指定的内容。 Disallow: /admin/ Disallow: /db/
2、robots Meta标签
robots Meta标签用来告诉搜索引擎robots如何抓取该页的内容。把下面HTML代码放到管理后台，可以防检索 < META name=robots content=noindex,nofollow >。 robots Meta标签很多搜索引擎是不支持的， 所以尽可能的使用robots.txt文件来限制抓取。
3、修改后台路径，修改文件名
找不到登录页就谈不到暴力破解，注意路径文件名和配件文件一致。

如何获取用户名和密码
1、弱口令
admin admin admin 123456 admin admin888 admin admin123
2、暴力破解
暴力破解是对目标进行穷举猜测，常常辅以字典来缩小密码组合的范围。
拖库：网站遭到入侵后，黑客窃取其数据库。
撞库：黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。

如何防暴力破解？
页面数字验证码 图片验证码 拖动操作 手机验证码 限制密码输入次数</