去年秋天，何渗后台一位做电商的别人朋友半夜给我打电话，声音发颤：“后台订单数据全被人扒了，看数连买家手机号都泄露了。何渗后台”他以为是别人黑客用了什么高级漏洞，结果我帮他查了两天，看数发现问题出在一个离职三个月的何渗后台运营身上——那人的账号压根没被注销，密码还是别人初始的“admin123”。这事听起来像段子，看数但类似的何渗后台情况我见过不下十次。渗透后台看数据，别人绝大多数时候根本用不着什么零日漏洞，看数靠的何渗后台是人的疏忽。

先说最常见的别人入口：弱口令。很多后台管理系统部署完就扔在那，看数管理员图省事，账号密码设成admin/admin、root/123456，甚至直接留空。用Burp Suite或者简单的Python脚本跑一遍常见字典，十分钟能扫出一堆。我试过对一个地方政务系统做授权测试，登录框连验证码都没有，密码错误也不锁定，hydra跑了不到二十分钟就进去了。进去之后能看到什么？整个区的企业注册信息、法人身份证号、联系电话，全在数据库里躺着。

另一个重灾区是API接口。前端页面可能做了权限校验，但后端接口忘了加。你打开浏览器的开发者工具，切到Network面板，看那些XHR请求。有些接口直接返回JSON数据，连token都不验。把URL里的用户ID从1001改成1002，就能看到别人的订单详情。这叫IDOR，越权访问，OWASP排第一的漏洞类型。去年某快递公司泄露40万条用户信息，根子就在这——一个没做权限校验的查询接口。

再说个更隐蔽的：日志和备份文件。网站根目录下放个backup.zip、www.rar，或者数据库导出文件db.sql，这种事我见得太多了。有人用dirsearch扫一遍目录，发现/backup/2023-08-15.sql，下载下来用文本编辑器打开，里面全是明文密码和用户数据。还有.git文件夹没删的，直接把源码拖下来，数据库连接字符串就在config文件里写着。拿到数据库账号密码，连上MySQL，SELECT * FROM users，完事。

供应链攻击也值得提一嘴。很多后台系统用了第三方组件，比如老版本的Struts2、Fastjson，或者某个没人维护的CMS插件。这些组件爆过远程代码执行漏洞，攻击者构造一个恶意请求就能拿到服务器权限。我见过一个案例，某医院的后台系统用了五年前的ThinkPHP版本，攻击者通过一个已知的SQL注入点，直接写webshell到web目录，然后提权到root，整个数据库随便看。

但最让我后背发凉的是内部人员作案。前面说的那个电商朋友，后来查清楚了——离职运营用自己没注销的账号登录，导出了三个月的订单数据，卖给竞品公司。这种事防不住，因为账号是合法的，操作也是合法的，日志里看不出异常。除非你做行为分析，比如某个账号凌晨三点批量导出数据，或者短时间内访问量激增。但很多公司连基本的日志审计都没有。

说这些不是教人干坏事。我写这篇文章，是想让做开发的和管系统的人知道，你的后台可能比你想的脆弱得多。一个没改的默认密码、一个忘了删的备份文件、一个没做权限校验的接口，都可能是数据泄露的起点。别等出事再找安全公司，那时候数据早就在暗网上挂着了。

真要防，其实也不复杂。强制复杂密码、定期改、离职立刻注销账号。接口层面加个权限中间件，每个请求都验token和角色。目录扫描工具自己先跑一遍，把不该留的文件删干净。第三方组件用最新版，别偷懒。日志至少保留半年，最好上SIEM做异常告警。这些事做完，能挡住九成以上的低级攻击。剩下的那一成，才需要拼技术。