2023年某地警方破获一起案件，何入嫌疑人用一款开源的侵网目录扫描工具，在凌晨两点跑出了某企业官网的站后后台地址。他没写一行代码，何入只是侵网把字典文件换成了从旧论坛扒来的弱密码表。三天后，站后他坐在家里看着后台的何入订单数据，像翻别人忘在桌上的侵网笔记本。

后台入口通常藏在两种地方。站后一种是何入明面上的，比如 /admin、侵网/login、站后/manage，何入这类路径像便利店招牌，侵网谁都能看见。站后另一种是改过的，比如把 admin 换成 system123，或者用参数传递，像 index.php?m=admin。有人觉得改个名字就安全了，其实扫描工具早把常见变体收录进字典。我见过一个站，后台路径是 /aG9tZQ==，base64 解码后是 home，这种小聪明在自动化工具面前撑不过十分钟。

弱密码是另一扇没关严的窗。某次渗透测试，客户信誓旦旦说密码是 Adm1n@2024，结果我们在后台登录框试了 admin/admin，直接进去了。他忘了测试环境那套没删。真实案例里，admin123、root/root、test/test 出现的频率高得离谱。有人用社工库撞库，拿邮箱前缀当用户名，生日当密码，成功率比暴力破解高得多。一个做电商的朋友告诉我，他后台被登过三次，每次都是因为运营图省事，把密码设成 wang123456。

SQL注入没死透。某政府站点的后台登录框，输入 ' or 1=1 -- 直接进了。开发用了老版框架，过滤函数只挡了 union 没挡 or。更隐蔽的是 cookie 注入，有人把 userid=1 改成 userid=1 or 1=1，后台就把所有用户数据吐出来了。这类漏洞在十年前是主流，现在少，但没绝迹。我去年还见过一个教育平台，搜索框输入单引号报错，报错信息里带着数据库版本和路径。

文件上传是直通车。后台一般都有上传功能，传图片、传附件。有人传了个 .php 文件，服务器没校验后缀，直接当脚本执行。更狡猾的是传 .htaccess 改解析规则，或者传 .php.jpg 配合解析漏洞。某次实战，目标站用了 IIS，传 shell.php;.jpg 直接拿 shell。防守方以为改了 content-type 就安全，其实抓包改后缀就行。

逻辑漏洞比技术漏洞更常见。比如后台找回密码，验证码回显在响应包里；比如越权，把 uid=1001 改成 uid=1000 就能看别人订单。有个社交平台的后台，普通管理员能通过改 URL 访问超级管理员的用户管理页，权限校验只在前端做了。这种洞扫描器扫不出来，得手工测。

说这些不是教人干坏事。我写出来是因为太多人觉得后台锁着就没事。实际上，一个没打补丁的 CMS、一个复用密码的运维、一个忘了删的测试账号，都能让后台变成公共厕所。防守方该做的很简单：改默认路径、强密码加双因素、定期扫漏洞、别把测试环境暴露在公网。攻击方永远在找最矮的那堵墙，而大多数墙，矮得让人不好意思说。