去年秋天，后台我接了一个电商后台的渗透渗透测试。客户拍着胸脯说系统用了“企业级安全框架”，测试结果我连密码都没猜，后台直接从前端登录接口的渗透返回包拿到了管理员token。这事不稀奇——后台渗透测试里，测试最坚固的后台墙往往是从内部被绕开的。
后台跟公网服务完全是渗透两码事。公网你面对的测试是防火墙、WAF、后台限流；后台呢，渗透通常躲在VPN后面，测试或者只允许内网访问。后台但一旦你拿到一个低权限账号，渗透或者通过SSRF、测试XSS钓到管理员的session，局面就变了。后台的接口经常默认“内部请求=可信”，参数校验稀烂，甚至直接拼接SQL。我见过一个CMS，后台的用户列表页有个排序参数，加个单引号就报数据库错误——这要放在前台，早被扫烂了，可后台没人管，因为“内网嘛，安全”。
说个具体案例。某次测试，目标后台有个“导出日志”功能。点一下，浏览器下载一个CSV。我抓包看请求，URL是/admin/export?file=access.log。试着改成file=../../../../etc/passwd，服务器直接把passwd内容吐了出来。路径穿越，老漏洞，但在后台出现，杀伤力翻倍。更离谱的是，这个后台的登录页面有个“记住我”选项，勾选后生成的cookie是user=admin; role=1这种明文。改一下role值，普通用户秒变超管。开发人员大概觉得“反正内网，谁看cookie啊”。
后台渗透的核心思路不是硬刚登录框，而是找“信任边界”的裂缝。常见入口有几个：一是API接口，后台前端往往调用一堆/api/v1/xxx，这些接口可能没做权限校验，直接返回敏感数据。二是文件上传，后台的上传功能经常只检查后缀名，改个.php.jpg或者用Content-Type: image/png就能绕过。三是密码重置逻辑，比如重置链接的token是base64编码的邮箱，或者验证码回显在响应里。我甚至见过一个后台，修改密码时把用户名放在隐藏字段里，改成admin就能重置管理员密码。
工具方面，Burp Suite是标配，但别迷信扫描器。后台的漏洞往往需要手工构造请求。比如越权，你得先登录两个账号，一个高权限一个低权限，然后对比同一个接口的响应差异。自动化工具很难判断“这个订单ID属于别人”算不算漏洞——业务逻辑漏洞只能靠人脑。有一次我测试一个退款接口，发现只要把订单号改成负数，就能给自己账户充值。这种漏洞扫描器永远扫不出来。
防御方呢？很多公司把后台当“内部工具”，安全投入几乎为零。开发阶段不写权限校验，测试阶段不测越权，上线后不打补丁。我建议至少做三件事：所有后台接口强制校验session和角色，别信前端传的任何参数；文件上传用白名单+随机文件名+独立存储域名；日志和错误信息别回显到前端。听起来基础，但80%的后台连第一条都做不到。
最后说个观察。后台渗透测试最耗时的不是找漏洞，而是搞清业务逻辑。你得知道哪个按钮对应哪个接口，哪个参数控制权限。有时候一个后台有几百个接口，你得像拼图一样把权限模型拼出来。这活儿枯燥，但一旦拼对了，你会发现开发人员留下的后门比你想的多得多。别指望一次测完，后台的漏洞会随着功能迭代不断冒出来。保持好奇，保持手工。