1、探测信息 2、利用漏洞得到管理账号密码 3、找到后台 4、登录后台取得web权限 如果发现直接有上传漏洞就可以利用