熊海是⼀款⼩型的内容管理系统，1.0版本是多年前的版本了，所以漏洞还是⽐较多的，⽽且审计起来难度不⼤，⾮常适合⼊门。
1) 文件包含漏洞
GET传值r，用函数addslashes转义我们传入的值，防止命令执行、sql注入等，但是这里对文件包含并没有影响存在目录穿越，可以包含file目录中的也可以包含根目录中的文件，我们在files文件夹下新建一个2.php 根目录新建1.php。
第二处admin的index.php也是存在同样问题
2) SQL注入漏洞
admin/login.php
没有对参数进行过滤，SQLmap一把梭
存在的一些注入类型：
admin/softlist.php
无过滤，开启了mysql错误回显，直接报错注入
执行结果:
admin/editlink.php
无过滤，报错注入，时间盲注
admin/editcolumn.php
无过滤，报错注入，时间盲注
3.3) XSS漏洞
addslashes函数对js标签并不过滤
3.3) 垂直越权
在cookie中添加一个新的属性：user=admin