### 简要描述：为什么我们要选择get类型的呢，因为get类型存储到数据库的时候触发时候管理员是察觉不到的，可以通过图片等进行操作，然后我们存储一个xss后门，这样一来，我们就可以加载一个远端的js，那么就各种无视token和referer了 ### 详细说明：开始我们先分析一段源代码： celive/admin/system.php:(line:128-142): ``` if($do == 'add' and $username != '') { $password = addslashes($_REQUEST['password']); $password = md5($password); $realname = addslashes($_REQUEST['realname']); $timestamp = time(); $level = addslashes($_REQUEST['level']); $departmentid = intval($_REQUEST['departmentid']); $sql = "SELECT `id` FROM `".$config['prefix']."operators` WHERE `username`='".$username."' AND `password`='".$password."'"; @$result = $db->my_fetch_array($sql); if(count($result) == 0) { $sql = "INSERT INTO `operators` (`username`,`password`,`firstname`,`level`,`timestamp`,`departmentid`) VALUES('".$username."','".$password."','".$realname."','".$level."','".$timestamp."','$departmentid')"; $db->query($sql); } } ``` 看到这一块了没有，这里就只用了addslashes 做了过滤，然后直接插入数据库，当我们在其他地方取的时候，这时候就会触发，这里我们分析两种情况 1.如果触发时候，在获取该页面的地方不再当前回显页面，这个我们也是有办法的，而且此办法比较猥琐，管理员不知不觉还是会中招 2.如果触发时候，正好在当前页面，那么我们就不费事了，直接搞定我们首先进行了xss各种标签的测试，很不幸运的是大部分的xss触发标签都被全局过滤了，这里和他们自带的论坛源码编辑不一样，正好漏掉了其中的一种，那就是伟大的

Query Builder