登录页面
首先是登录页面，随便输入用户名和密码进行登录。
看着类似这样的提示就可以进行用户名枚举了。使用bp抓包，对用户名进行枚举，拿到用户名，顺便还发现了验证码可以重复利用。
拿下用户名枚举漏洞
用户名设置成admin，对密码进行单参数爆破，成功拿到用户名密码。喜提弱口令漏洞
对登录框继续测试万能密码、xss、sql注入，发现都有防火墙检测对应参数，有点难啃，先放一边吧。
注册页面
对用户进行注册，bp抓包，用户名单参数攻击，发现可以一直注册成功。
喜提任意用户注册漏洞
由于之前在登录页面发现此系统存在防火墙检测敏感字符，所以注册页面的输入框就没有对sql注入、xss漏洞进行测试了。
在线留言
对关键词搜索框进行xss、sql注入测试也发现有相对应的敏感词检测，留言板测试存储型xss也是没有被成功解析。
用户中心--会员资料
看到一个头像上传点，尝试文件上传，但是这里的上传点是一个白名单，使用%00截断但是响应包返回的是报错了，也没有找到对应的文件包含、文件解析漏洞，所以虽然图片马上传成功了，但是不能成功解析，折腾了好久只能先暂时放弃。
尝试测试CSRF漏洞，最终也没测试成功。
用户中心--修改密码
修改密码，使用bp抓包，构造CSRF poc
用同一浏览器访问该poc的url，密码成功修改，
拿下CSRF漏洞
