服务器日志里冒出一串请求，路径都带着 admin.php，来源散在几十个 IP，间隔还很规律。这类扫描不是冲着某个站来的，是拿搜索语法批量筛出来的。
inurl: 是搜索引擎的高级语法，意思是匹配网址里含指定字符串的页面。inurl:admin.php 会筛出 URL 中带这段字符的结果，本质是个检索条件，不是漏洞，也不具备任何入侵能力。
后台地址为什么总被盯上
后台登录页是整套系统里权限最高的入口。地址固定、路径公开、登录逻辑还可能没有失败次数限制。被批量筛出来之后，剩下的就是撞库和试弱口令。脚本一天能扫几十万个地址，成本几乎为零。
防护从改路径开始
把后台入口换成不常见的名字，别用 admin、manage、login 这类词，能挡掉绝大部分自动化扫描。改完记得同步更新收藏夹和内部文档，不然运维自己都进不去。
再叠几层：后台只允许固定 IP 或内网访问；登录加图形验证码和失败锁定；开二次验证；后台账号按角色最小授权。单看都不复杂，叠起来足够挡住脚本。
几个误区
- 用 robots.txt 屏蔽后台，等于告诉别人这里有好东西，反而被优先翻。
- 只改路径不换口令，扫不到也能猜。
- 以为藏了入口就安全，接口层的越权才是真正的大头。
另外建议把后台登录日志单独留一份，失败次数突然抬头就是个信号。真正被拿下的站，往往是从几十万次尝试里漏过去的那一次开始。
要评估自家站点的暴露面，拿公司的资产清单做定向检查，别拿搜索语法去翻别人的站。后者在国内属于违法行为，和水平高低没关系。