黑进后台？黑入后台先别急着拿工具

我见过太多人一上来就开sqlmap扫注入点，或者拿burp抓包乱改。网站结果呢？黑入后台要么被WAF拦得死死的，要么直接把自己IP送进封禁名单。网站真实的黑入后台后台入侵，九成靠的网站是信息收集，不是黑入后台暴力破解。

有一次，网站我接手一个授权测试的黑入后台站点。看起来是网站普通的CMS，后台路径是黑入后台/admin。试了几个弱口令，网站全被锁了。黑入后台这时候我注意到登录页面的网站源码里，注释掉一行数据库备份文件的黑入后台路径。顺着路径访问，好家伙，一个没加密的SQL导出文件躺在那里。密码哈希是MD5，彩虹表一查就出来。整个过程没碰任何漏洞扫描器，就靠浏览器和手。

后台入口往往藏在你不注意的地方。管理员喜欢把登录地址改成奇怪的名字，比如/sysmanage、/console，甚至直接挂在根目录下的某个隐藏目录。用字典爆破目录？那是下策。看robots.txt，看JS文件里的ajax请求，看cookie里的路径参数——这些都能泄露真实后台地址。我见过一个政府网站，后台居然在/upload/images/2019/下面，因为开发图省事，把管理页面和图片放在同一层级。

拿到后台密码只是第一步。真正的难点在于绕过验证码和双因素认证。验证码可以OCR，但现在的图形验证码加了干扰线，识别率低得可怜。换个思路，很多验证码的校验逻辑在前端——抓包重放时不带验证码字段，服务器可能默认放行。我试过一次，把验证码参数删掉，直接POST用户名密码，居然通过了。开发者的疏忽，比任何0day都值钱。

登录进去之后，别急着上传webshell。先看功能点。文件上传处过滤了扩展名，但没检查文件内容——可以传一个图片马，用短标签写PHP代码。或者找导出功能，有些系统把数据导出成CSV时，会直接拼进公式，Excel打开就执行外部链接。这种攻击不碰服务器，只骗管理员点一下，属于社会工程和技术的混合体。

后台的脆弱点往往在“导出”和“打印”按钮上。它们比编辑功能更少被审计。某次测试一个ERP系统，后台能导出订单为PDF，参数里有个模板路径。把路径改成../../../../etc/passwd，PDF直接渲染出文件内容。这不是注入，是路径穿越，但后台功能里的路径穿越比前台难防得多，因为开发者默认登录用户是可信的。

还有一类后台，安全做得固若金汤，但忘了保护API接口。管理员操作走的是/api/updateUser，但权限校验只检查了前端按钮是否显示。直接构造POST请求，把用户ID改成管理员的，密码改成自己的，服务器就认了。这种逻辑漏洞，扫不出来，只能靠手工测。

最后提醒一句，黑进后台不是目的，证明危害才是。我一般只改个页面标题，截个图，然后写报告。真有人把后台数据删了，那是刑事犯罪。授权测试和非法入侵的界限，比后台的验证码清晰得多。

工具只是拐杖，思路才是腿。下次你盯着登录框发愁时，不如先去看看那个不起眼的“忘记密码”功能——它可能比你想的更健忘。