去年某厦门服装卖家网站被植入恶意插件，调查发现黑客是通过/wp-admin入口暴力破解——该路径一个月内被扫描了47万次。更讽刺的是，他们服务器日志里还躺着"admin/123456"的登录尝试记录...
隐藏登录地址就像"给后门上锁"——某工具站把路径改成/secret-login，结果全员把链接存浏览器书签，黑客直接通过页面源码找到新路径。最魔幻的是某大卖的"神操作"：为防破解设置30位超长登录路径，结果自家运营团队每次都要翻加密笔记...
（真实惨案：客户用"企业吉祥物命名"登录路径，结果黑客通过官网"关于我们"页面猜出命名规律）
近期Sucuri报告显示，未隐藏的WP站点日均遭受2300次扫描。但某卖家的解决方案更绝——在登录页添加验证问题"老板生日是哪天"，结果连CFO都答错被锁账号...记住：当你的后台路径和营业执照一样公开时，就别怪黑客来"商务拜访"了！