Было бы здорово описать не порядок действий, а логику и ошибки на стороне сервера
Почему это возможно, какие настройки были неверными и как это можно было предотвратить

Привет)

По сути автор все уэе объяснил. Но для удобства разложу по полочкам:

1. На целевом сервере установлен WAF
2. WAF блокирует любые параметры, передаваемые в URL. Может показаться, будто он все фильтрует и реджектит, но на самом деле фаер проверяет только source_ip - т.е. ОТКУДА происходит попытка подключения.
3. В GET-запрос к эндпоинту /admin.php просто добавляется хедер X-Forwarded-For с IP localhost
4. Ты попадаешь в админку.

Хитрая ли это защита? Да. Используется ли она в дикой природе? Скорее да, чем нет. Надежна ли она? Определенно нет. Любой хакер, который понимает, как работает WAF, легко обойдет данный параметр))