这是个java的cms,采用spring mvc+spring+mybatis架构，采用mybatis，看了几处，大概率是没有sql注入的了，然后想看看有没有越权之类的东西，但是他这里登录功能也做的很简单，直接就是用sessionid来判断的，所以没有越权
然后是未授权访问，后台都是在/manage路由下的，然后这个路由下的所有controller都是加了@Before(AdminLoginInterceptor.class)拦截器，这个拦截器会判断权限。
文件上传，直接是lastIndexof(’.’)的方式获取到后缀，然后随机生成文件名并凭借上传文件的后缀，本想找一个文件包含配合着getshell,但是这个简单的系统没有文件相关的功能。
spel注入，没有可控的spel表达式输入点
xss一大堆，只做了简单的过滤，可以通过大小写绕过，验证时，可以用prompt代替alert
csrf一大堆，利用xss加csrf更改管理员的密码获取添加管理员
tips:这种通过框架执行sql语句的，我们不太能够直接输出执行了的sql语句，所以，可以开启mysql数据库的实时记录功能，set general_log=‘on’,然后就可以查看
tail log.txt实时查看执行了的sql语句以判断是否存在sql注入
