渗透后台

凌晨两点十七分，渗透后台我盯着屏幕上那行返回的渗透后台JSON数据，手指停在键盘上没动。渗透后台一个正常的渗透后台登录接口，返回的渗透后台用户ID却多了一位数字。后台管理系统里查不到这个账号，渗透后台数据库里也没有对应记录。渗透后台但它就是渗透后台能通过验证，拿着一个不存在的渗透后台身份，大摇大摆走进系统内部。渗透后台

这不是渗透后台漏洞扫描器扫出来的。是渗透后台我手贱，把登录请求里的渗透后台手机号改了一位，随手试了试。渗透后台结果系统告诉我：登录成功。渗透后台

渗透测试干久了，人会变得有点神经质。看到输入框就想塞点东西进去，看到URL参数就想改改看。那天晚上本来只是例行巡检，结果撞上这么个东西。我顺着这个幽灵账号往下摸，发现它居然有管理员权限。能改配置，能看日志，能导出用户数据。一个凭空捏造的身份，权限比我还大。

后台的权限校验逻辑写得很随意。前端传什么角色，后端就信什么角色。我抓了个包，把role字段从"user"改成"admin"，再发一次请求。页面刷新，左侧菜单多出六个管理项。没有二次验证，没有服务端复核，什么都没有。就像进小区大门，保安看了一眼你手里自己写的访客牌，就放行了。

这种问题不是个例。去年帮一家电商做测试，他们的订单查询接口只靠一个自增ID做隔离。我把ID从1001改成1002，看到了别人的收货地址和电话。再改成1003，又是一单。写个脚本跑一遍，十分钟拖下来两万条订单。他们技术负责人后来跟我说，觉得没人会去改那个数字。可攻击者最喜欢的就是这种"觉得没人会"的地方。

渗透后台的核心从来不是用什么高级工具。是耐心，是好奇心，是愿意在那些看起来"正常"的地方多问一句为什么。为什么这个接口返回了多余字段？为什么这个页面没登录也能访问？为什么改个参数就看到了不该看的东西？每一个为什么背后，都可能藏着一条通往后台的路。

我见过最离谱的一个后台，登录页面直接写在HTML注释里。查看源代码，账号密码明文躺在那里。开发人员可能觉得注释不会显示在页面上就安全了。可浏览器一看源码，什么都藏不住。还有一次，后台路径是/admin，但改成了/Admin，大小写换了一下，居然绕过了访问控制。服务器是Linux，文件系统区分大小写，但路由匹配没区分。这种细节，扫描器扫不出来，得靠人一个个试。

那天晚上我最后没继续往下挖。截了图，写了报告，发给他们安全负责人。第二天收到回复，说已经修复了，感谢提醒。语气客气，但我猜他们心里在骂我多管闲事。无所谓。渗透测试这行就是这样，你发现的问题越多，别人越觉得你烦。但总得有人去做那个半夜不睡觉、盯着返回数据发呆的人。

后台系统像一栋房子的地下室。用户看到的是装修好的客厅和卧室，攻击者想进的是那个堆满杂物、门锁生锈的地下室。而渗透测试要做的，就是在别人撬锁之前，先自己试着推一推那扇门。有时候门根本没锁，有时候锁了但钥匙挂在门把手上。推开了，进去看看，然后告诉房主：你家地下室进得去人。

就这么简单。也这么不简单。