一：弱口令登录漏洞
1.在网站后面拼接admin来到后台登陆
2.在登录页面中输入账号admin密码admin登录
二：存储型XSS漏洞
1.登陆后台打开网站设置的基本设置界面
2.编辑内容营销客服代码(如53KF代码)中输入<script>alert(1)</script>确定
3.返回首页会弹窗
三：文件上传漏洞
1.登陆后台打开网站设置的基本设置界面，有能上传图片的地方
2.尝试上传图片，发现只能上传gif格式的
3.上传一个shell.gif图片，内容为一句话木马，抓包修改木马后缀
4.发送到重放器，发生数据包，成功上传，并且在响应包中找到返回的路径
5.访问木马文件
6.蚁剑连接
四：任意文件删除
1.payload：
/admin/admin_ajax.php?value=../test.php&action=del_pic
五：SQL注入漏洞
1.后台登陆界面登录抓包，发送到重放器，尝试发现user存在SQL注入
2.报错注入查看数据库
3.查看表名，等于号被过滤，用in代替，and、select、from、where采用双写绕过
4.查看bees_admin表的列名
5.查看用户名和密码
密码MD5解密后为admin