找找参数看看是否有注入点
发现某处存在参数，加单引号返回错误
用sqlmap跑
成功跑出数据，但是尝试后无法getshell 非dba权限 另寻他处
发现一处文件上传
尝试发现并为对后缀进行限制，只对文件头校验
多次尝试后发现
信息：1.图片码上传 2.不能解析（需要绕过）3.会回显到指定目录 且只上传指定文件夹
注意这里可以控制文件上传路径
直接上传不能解析 而且这俩个目录在目录下
联想跳转目录../../
把内容置空
然后输入../../
就可以返回路径
成功getshell
修复方法 将路径写死就行了 或者白名单校验
以上漏洞均已修复